認識請求的三個動詞：取回、覆蓋上傳、只讀 header。

分清資訊放網址（?後）還是放 header，差在傳播力與外洩風險。

分清『你是誰』與『你能做什麼』：401 補憑證重試，403 別再重登。

兩邊各有同把金鑰、各算一次比對：驗來源又防竄改，金鑰不上通道。

把特殊字元編成 %XX；認清空格 %20 與 + 兩套規矩，別讓下游對不上。

一條先簽好、帶時效的請求網址：貼上就能限時存取私有物件，免 AWS 帳號。

網址露編號與簽章、不露鑰匙；懂為何『被看到』不等於『被偷』。

認票不認人的通行證：誰持有誰能用；配 TLS＋短時效防被偷。

presigned URL 能做的事不超過簽發憑證；委派授權不逾越授權者。

一條 URL 只能做被簽死的那個動作；下載上傳要各簽一條。

簽 PUT URL 給前端，檔案從瀏覽器直接進 bucket，憑證不外流。

PUT 同 key 會無聲覆蓋舊物件；用唯一 key 或開 versioning 避坑。

presigned URL 不是一次性，到期前可重複使用；安全靠短時效。

讀懂網址尾巴六個 X-Amz-* 認證參數各是什麼。

把請求抄成兩邊一字不差的標準格式，簽章才對得上。

用 secret 對 date→region→service 做四次 HMAC，衍生限定範圍的簽名鑰。

server 用同一份 secret 重算比對，缺 secret 就偽造不了。

用 GetPreSignedUrlRequest 產下載/上傳 URL，到期填絕對時間 DateTime。

用 MinIO v7 builder 產 URL，到期填相對秒數 int，別跟 AWS 搞混。

GET 用 -o、PUT 用 --upload-file 打一次，確認 URL 真的通。

用短到期＋臨時憑證把外洩爆炸半徑壓到最小。

簽章明文在網址、會被 log 記走；別放公開頁、短時效、遮蔽。

RequestTimeTooSkewed 幾乎都是時鐘差太多；校時（NTP）就好。

用 s3:signatureAge 與 POST policy 劃硬邊界、限制內容。

S3/SigV4 是跨廠商標準，換 store 常只換 endpoint，知識可遷移。

用能限大小/型別/前綴的 POST policy 做瀏覽器直傳。

大檔切片、逐片各簽一條 URL 平行上傳再 complete。

非對稱簽章讓一份簽章跨多 region 通用，用於 MRAP。