本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
使用签名 URL
主题
签名 URL 包括额外的信息，例如，过期日期和时间，为您提供内容访问方面的更多控制权。该额外信息出现在策略声明中，且是基于固定策略或自定义策略。固定策略和自定义策略之间的差别将在接下来的两节中予以说明。
注意
针对相同分配，您可以使用固定策略创建一些签名 URL 以及使用自定义策略创建一些签名 URL。
为签名 URL 选择标准策略或自定义策略
创建签名 URL 时，需要编写 JSON 格式的策略声明，以指定对签名 URL 的限制，例如，URL 的有效期。可以使用标准策略或自定义策略。以下是标准策略和自定义策略的比较：
| 说明 | 标准策略 | 自定义策略 |
|---|---|---|
可对多个文件重复使用策略声明。要重复使用策略声明，您必须在 |
否 |
是 |
可指定用户开始访问内容的日期和时间。 |
否 |
是（可选） |
可指定用户无法再访问内容的日期和时间。 |
是 |
是 |
可指定能够访问内容的用户的 IP 地址或 IP 地址范围。 |
否 |
是（可选） |
签名 URL 包括策略的 Base64 编码版本，这会导致更长的 URL。 |
否 |
是 |
有关使用固定策略创建签名 URL 的信息，请参阅使用标准策略创建签名 URL。
有关使用自定义策略创建签名 URL 的信息，请参阅使用自定义策略创建签名 URL。
签名 URL 的工作方式
以下概述了您如何为签名 URL 配置 CloudFront 和 Amazon S3，以及用户使用签名 URL 请求文件时如何 CloudFront 响应。
-
在您的 CloudFront 分配中，指定一个或多个可信密钥组，其中包含 CloudFront 可用于验证 URL 签名的公钥。您可以使用相应的私有密钥对 URL 进行签名。
有关更多信息，请参阅指定可以创建签名 URL 和签名 Cookie 的签署人。
-
开发应用程序，以确定用户是否应拥有对您的内容的访问权，以及为您希望限制访问的文件或应用程序的某些部分创建签名 URL。有关更多信息，请参阅以下主题：
-
用户请求您要求对其使用签名 URL 的文件。
-
应用程序验证用户是否有权访问文件：他们已登录、已付费访问内容或已满足一些其他访问要求。
-
您的应用程序创建并返回签名 URL 给用户。
-
签名 URL 允许用户下载或流式传输内容。
此步骤是自动的；用户通常不必做任何额外的事情以访问内容。例如，如果用户是在 Web 浏览器中访问您的内容，那么您的应用程序会将签名 URL 发回浏览器。浏览器立即使用签名 URL 访问边 CloudFront 缘缓存中的文件，无需用户干预。
-
CloudFront 使用公钥验证签名并确认 URL 未被篡改。如果签名无效，则请求将被拒绝。
如果签名有效，请 CloudFront 查看网址中的政策声明（如果您使用的是固定政策，则需要构造一个声明），以确认请求仍然有效。例如，如果您为 URL 指定了开始和结束日期和时间，则 CloudFront 确认用户在您想要允许访问的时间段内尝试访问您的内容。
如果请求满足策略声明中的要求， CloudFront 则执行标准操作：确定文件是否已在边缘缓存中，必要时将请求转发到源，然后将文件返回给用户。
注意
如果未签名的 URL 包含查询字符串参数，请确保将它们包含在 URL 中您签名的部分内。如果在签署后将查询字符串添加到签名 URL 中，该 URL 将返回 HTTP 403 状态。
选择签名 URL 的有效时间
您可使用只在很短时间内有效（可能只有几分钟）的签名 URL 来分配私有内容。在这么短的时间内有效的签名 URL 非常适合on-the-fly 将内容分发给用户用于特定目的，例如按需向客户分发电影租赁或音乐下载。如果您的签名 URL 有效期较短，您将可能希望使用您开发的应用程序自动生成它们。当用户开始下载文件或开始播放媒体文件时， CloudFront 将 URL 中的过期时间与当前时间进行比较，以确定 URL 是否仍然有效。
您也可使用有效时间较长 (可能数年) 的签名 URL 来分配私有内容。有效时间较长的签名 URL 适用于向已知用户分发私有内容，如向投资者分发业务计划或向员工分发培训材料等。您可以开发一个应用程序来为您生成这些长期签名 URL。
何时 CloudFront 查看签名 URL 中的到期日期和时间？
CloudFront 检查 HTTP 请求时签名 URL 中的过期日期和时间。如果客户端刚好在过期时间之前开始下载大型文件，即使在下载过程中到了过期时间，该下载也应该完成。如果 TCP 连接断开，并且客户端试图在过期时间到期后重新开始下载，则下载将会失败。
如果客户端使用 Range GET 来获取较小的文件，在过期时间到期后发生的任何 GET 请求将会失败。有关 Range GET 的更多信息，请参阅 如何 CloudFront 处理对象的部分请求（范围 GET）。
代码示例和第三方工具
有关创建签名 URL 的散列和签署部分的代码示例，请参阅以下主题：