Node.js中使用S3预签名URL上传时如何确保文件完整性？

我正在开发一个允许用户通过预签名URL直接上传文件至AWS S3的应用，使用AWS SDK for JavaScript的getSignedUrl()函数生成预签名URL。当前实现代码如下：

userRouter.js

userRoutes.post("/get-presigned-upload-url", validateJwtToken,
    validateRequest(userValidators.uploadFileSchema),
    awsS3Controller.getPresignedDownloadUrl);

awsS3Controller.js

const awsS3Service = new AWSS3Service();

export const getPresignedUploadUrl = async (req, res) => {
    try {
        const { folderPath, fileMetadata } = req.body;
        const { contentType, originalFileName, size, ChecksumSHA256 } = fileMetadata;
        const uniqueFileName = awsS3Service.generateUniqueFileName(originalFileName);
        const key = `users/${req.user.id}/${!folderPath ? "" : folderPath}${uniqueFileName}`;
        const presignedUrl = await awsS3Service.generatePresignedUploadUrl(
            key,
            contentType,
            { 
                metadata: { originalFileName, size, ChecksumSHA256 },
                checksumSHA256: ChecksumSHA256
            }
        );
        res.status(HttpStatus.OK).json({ message: "File uploaded successfully", presignedUrl: presignedUrl });
    } catch (error) {
        res.status(HttpStatus.INTERNAL_SERVER_ERROR).json({ message: error.message });
    }   
}

awsS3Service.js

class AWSS3Service {
    async generatePresignedUploadUrl(key, contentType, options = {}) {
        try {
            const command = new PutObjectCommand({
                Bucket: this.bucketName,
                Key: key,
                ContentType: contentType,
                Metadata: options.metadata,
                ACL: options.acl || 'private',
                ChecksumAlgorithm: options.checksumAlgorithm || "SHA256",
                ChecksumSHA256: options.checksumSHA256,                
            });
            return await getSignedUrl(this.s3Client, command, { 
                expiresIn: options.expiresIn || this.defaultExpiry,
                signableHeaders: new Set(['host', 'x-amz-sdk-checksum-algorithm', 'x-amz-checksum-sha256', 'content-type'])
            });
        } catch (error) {
            console.error('Presigned URL Generation Error:', error);
            throw new Error(`Failed to generate presigned URL: ${error.message}`);
        }
    }
}

我需要确保上传至预签名URL的文件与生成该URL时所用的文件一致，即验证预签名URL生成与实际文件上传之间的文件完整性。我已尝试在PutObjectCommand中使用ChecksumSHA256选项，以及在getSignedUrl()函数中使用signableHeaders选项，但仍不确定这是否为正确方案。另外我了解到需要在S3中开启校验和设置：

请问实现该验证的正确/完整方式是什么？

1. 确认S3存储桶的校验和配置 #

从你提供的截图来看，已经开启了存储桶的默认加密校验和设置，选择SHA-256即可。这个配置会让S3自动计算并存储上传文件的SHA-256校验和，同时在上传时如果客户端提供了校验和，S3会自动对比验证，不匹配则直接拒绝上传。

2. 预签名URL生成阶段的核心配置 #

• 绑定校验和到签名：在PutObjectCommand中必须同时指定ChecksumSHA256（客户端提供的文件哈希）和ChecksumAlgorithm: "SHA256"，这样预签名URL会绑定该校验值，客户端上传时必须严格匹配。
• 锁定关键请求头：必须将x-amz-checksum-sha256和content-type加入signableHeaders，这两个字段会被包含在签名中，防止客户端篡改上传的文件类型或校验和。你的当前代码已经配置了这一点，确保不要遗漏。
• 避免仅依赖Metadata存储校验和：Metadata字段可以被客户端篡改（除非签名绑定），因此必须使用S3原生的ChecksumSHA256字段来做验证，Metadata仅用于记录即可。

3. 客户端上传的强制要求 #

客户端使用预签名URL上传时，必须在PUT请求头中携带：

• x-amz-checksum-sha256：值为生成预签名URL时提供的SHA-256校验值
• Content-Type：值必须和生成URL时指定的一致

如果缺少这些头或值不匹配，S3会直接返回400错误（错误码InvalidChecksum或SignatureDoesNotMatch）。

4. 后端额外验证（可选但推荐） #

文件上传完成后，可以通过以下方式做二次验证：

• 调用S3的GetObject API，获取文件的ChecksumSHA256字段，和生成预签名URL时保存的校验值对比。
• 配置S3事件通知（比如Put事件触发Lambda函数），自动完成校验，不影响主业务流程。

5. 错误处理优化 #

• 前端需要捕获S3返回的InvalidChecksum错误，提示用户文件损坏或篡改，重新上传。
• 后端生成预签名URL前，要先验证客户端提供的ChecksumSHA256格式是否合法（必须是64位十六进制字符串），提前拦截无效请求。

内容的提问来源于stack exchange，提问作者Gaurav Kumar