一个 Web 应用程序提供存储在私有 S3 存储桶中的安全文档，并且必须只允许经过身份验证的用户在请求后 15 分钟内下载特定文档。哪种方法满足这些要求？

使用 AWS SDK 生成预签名 URL 是最符合成本效益和安全要求的方法。预签名 URL 允许您授予对 S3 对象的临时访问权限，而无需更改存储桶策略或使对象公开。您可以指定 URL 的过期时间，确保在 15 分钟后无法再访问该文档。 将文档复制到另一个存储桶会增加存储和数据传输成本，并且管理生命周期规则会增加复杂性。使用 SSE-KMS 仅提供静态加密，不控制访问时间。临时更新存储桶策略会带来安全风险，因为策略更改可能被滥用，并且管理起来非常复杂，尤其是在高并发场景下。