预签名url返回403主因是签名时的client配置（region、endpoint_url、协议、域名风格）与实际请求endpoint不一致，而非权限问题；需确保完全匹配。
为什么 boto3.generate_presigned_url 返回 403？
预签名 URL 失效或返回 403，八成不是权限问题，而是签名时用的 credentials 和实际请求时走的 endpoint 不匹配。比如你用默认 profile 生成 URL，但对象实际在 cn-north-1 区域，而 boto3 默认调用的是全球 endpoint（s3.amazonaws.com），签名就对不上。
- 确保
client初始化时显式指定region_name，和 bucket 所在区域完全一致 - 如果 bucket 启用了「区域级 endpoint」（如
my-bucket.s3.cn-north-1.amazonaws.com.cn），必须在client中配endpoint_url，否则签名算法会按 global endpoint 计算签名 - 检查 STS 临时凭证是否已过期——
generate_presigned_url不校验 credential 有效性，只管打包；等用户拿着 URL 请求时才真正校验，那时才报 403
怎么让预签名 URL 支持 POST 表单上传？
boto3.generate_presigned_post 是专用接口，别硬套 generate_presigned_url 去拼 POST 请求。前者返回的是含 policy、signature、key 等字段的字典，前端表单直接填进去就能发 multipart/form-data 请求。
-
Fields参数里传的key如果含${filename}占位符，需开启 bucket 的「POST 允许变量替换」策略（即 policy 中声明"starts-with", "$key"） - 注意
Conditions数组顺序：AWS 要求bucket必须第一个，key第二个，其余可变；顺序错会导致 signature 验证失败 - 生成的
url字段是 endpoint（如https://my-bucket.s3.cn-north-1.amazonaws.com.cn），不是带参数的完整 URL；别把它当 GET 链接去访问
Python 中如何安全控制预签名 URL 的过期时间？
过期时间不是越长越好。ExpiresIn 参数单位是秒，最大值受 credential 类型限制：长期 AKSK 最大 604800 秒（7 天），STS 临时凭证则不能超过其自身剩余有效期。
- 别写死
ExpiresIn=3600—— 如果用户拿到 URL 后 59 分钟才点上传，最后 1 分钟网络抖动，就失败；建议按实际交互节奏设，比如「上传按钮点击后 5 分钟内有效」 - 服务端生成 URL 前，先用
datetime.utcnow()校验当前时间是否早于 credential 过期时间，避免生成出来立刻不可用 - 如果你用的是
AssumeRole拿到的临时 credential，记得看Credentials.Expiration字段，它比ExpiresIn更真实
用 minio-py 生成预签名 URL 时要注意什么？
MinIO 兼容 S3 API，但签名逻辑对 path-style 和 virtual-hosted-style endpoint 敏感。如果你的 MinIO server 启用了 MINIO_DOMAIN 并配置了 Nginx 反代，很可能实际请求走的是 virtual-hosted style（bucket.example.com），但 client 初始化时没设 secure=False 或 region，导致签名计算方式错位。
立即学习“Python免费学习笔记（深入）”；
- 初始化
Minioclient 时，必须传region="us-east-1"（S3 兼容层要求，即使你没用 AWS） - 若 MinIO 后端监听 HTTPS 但证书非可信 CA 签发，别关 SSL 验证（
secure=False）来图省事；应把证书加进系统信任链，否则预签名 URL 在某些客户端会被拒绝解析 -
presigned_get_object返回的是完整 URL，但路径中不带 query string 的X-Amz-Signature等参数——那是内部拼的，你不用管；但若手动拼参，大小写、编码（如空格要转%20不是+）必须严格匹配签名时的原始字符串
