AWS S3 - 来自 getSignedUrl（） 的 PUT to URL 返回 403 SignatureDoesNotMatch 错误

Question

这个问题已经把我逼疯两天了。

目标：通过AWS Javascript SDK中的getSignedUrl函数提供的预签名URL将图像直接从浏览器上传到S3。

我在使用getSignedUrl生成Url时没有遇到任何问题。下面的代码...

const params = {
  Key:         key,
  Bucket:      process.env.S3_BUCKET,
  ContentType: "image/jpeg"
};

S3.getSignedUrl("putObject", params, callback);

...产生类似以下内容：

https://s3.amazonaws.com/foobar-bucket/someImage.jpeg?AWSAccessKeyId=ACCESSKEY123

但是通过PUT请求将图像上传到提供的URL总是会从S3返回403 SignatureDoesNotMatch错误。

什么工作：

• 从AWS Lambda的本地实例调用getSignedUrl（）（通过无服务器脱机）

什么不起作用：

• 将查询字符串变量设置为标头（内容类型、x-amz-* 等）
• 删除所有标头
• 获取 URL 时更改 ACL（私有、公共读写、无 ACL 等）
• 在节点中更改 aws-sdk 的区域
• 尝试开机自检而不是推杆（值得一试）

在这个问题上的任何帮助都将不胜感激。如果这仍然是一个问题，我将把我的电脑扔出窗外，沮丧地跳出来，因为它根本不想工作！




Answer 1

它以老派的方式为我工作：（axios 不断给出 403 禁止）

  const xhr = new XMLHttpRequest();
  xhr.open("PUT", signedRequest);
  xhr.onreadystatechange = () => {

    if (xhr.readyState === 4) {
      if (xhr.status === 200) {
        //Put your logic here..
         //When it get's here you can access the image using the url you got when signed.
      }    
    }
  };
  xhr.send(file);

请注意，这需要从客户端运行，因此您需要在Bucket中配置Cross Origin Police。

Answer 2

我想通了。调用 getSignedUrl（） 的 Lambda 函数没有正确的 IAM 角色权限来访问有问题的 S3 存储桶。在无服务器中...

iamRoleStatements:
    - Effect: Allow
      Action:
        - s3:*
      Resource: "arn:aws:s3:::foobar-bucket/*"

我实际上不会在这里使用通配符，但你明白了。getSignedUrl（） 仍然成功并返回 URL 的事实，即使 URL 由于缺少权限而注定要失败，这一事实极具误导性。

我希望这个答案在未来能帮助一些困惑的灵魂。