pre-signed-url · L5

期限與臨時憑證

期限與臨時憑證：把爆炸半徑壓到最小

一句話：pre-signed URL 是 bearer token，期限就是它的第一道防線——抓「剛好夠用」就好；再用臨時憑證（STS）當雙保險，一到期連沒過期的 URL 也一起作廢。

期限（X-Amz-Expires）怎麼抓

下載一張圖、開一個檔：幾分鐘。
大檔上傳、慢速網路：十幾分鐘到一小時，視實際耗時。
最大 7 天（604800 秒）——因為 Signing Key 本身最多有效 7 天（Level 3），簽更久做不到。

期限＝爆炸半徑。就算 URL 外洩，能被濫用的窗口就這麼長。別為了「省得重簽」而貪長。

更硬的一層：用臨時憑證去簽

別用長期 IAM user 的 key 簽日常 URL，改用臨時憑證（STS）。 臨時憑證有自己的 session 到期時間，一到期，連還沒過 X-Amz-Expires 的 URL 也會一起失效（Level 1 的「第二層檢查」：驗完簽章還要看憑證此刻是否仍有效）。

這給你雙保險：

即使你不小心把 X-Amz-Expires 簽長了；
即使 URL 外洩了；
臨時憑證過期後，它就自動作廢。

用臨時憑證還順帶滿足「最小權限」——搭配 Level 1 的天花板性質，你可以發一組「只能做這件小事、且很快過期」的憑證去簽，風險最低。

參考來源