Docker部署Flask+MinIO时预签名URL遇SignatureDoesNotMatch问题

Docker化的Flask应用连接MinIO时，必须用Docker服务别名minio:9000才能互通，但生成的预签名URL主机也是minio:9000，手动替换成localhost:9000访问会触发SignatureDoesNotMatch错误——原因是预签名URL的签名是基于客户端初始化时的endpoint（minio:9000）计算的，访问时的主机头（localhost）与签名时的不一致，导致MinIO验证失败。

方案1：配置MinIO服务器URL，自动生成外部可访问的预签名URL #

通过MinIO的MINIO_SERVER_URL环境变量，指定外部客户端能访问的MinIO地址，这样Flask客户端在内部用minio:9000连接，但生成预签名URL时会自动替换为配置的外部地址。

修改docker-compose.yml中minio服务的环境变量：

minio:
  image: minio/minio:latest
  environment:
    MINIO_ACCESS_KEY: abc123
    MINIO_SECRET_KEY: 123abc
    MINIO_SERVER_URL: "http://localhost:9000"  # 指定外部访问的MinIO地址
  volumes:
    - minio-data:/data
  ports:
    - "9000:9000"
    - "9001:9001"
  command: server --address ":9000" --console-address ":9001" /data

Flask端的MinIO客户端初始化代码保持不变：

minio_client = Minio(
    "minio:9000",
    access_key="abc123",
    secret_key="123abc",
    secure=False
)

此时调用presigned_get_object生成的URL会自动使用localhost:9000作为主机，无需手动替换，访问时签名验证正常。

方案2：生成预签名URL时指定自定义Endpoint #

直接在生成预签名URL的方法中，传入外部可访问的Endpoint地址，让签名基于该地址计算，同时生成的URL也使用该主机。

修改Flask中的预签名URL生成代码：

presigned_url = minio_client.presigned_get_object(
    bucket_name,
    file_name,
    endpoint_url="http://localhost:9000"  # 覆盖客户端初始化的Endpoint
)

此方法无需修改MinIO配置，灵活度更高，适合需要根据不同环境切换外部地址的场景。

方案3：统一域名访问（生产环境推荐） #

如果是生产环境，避免使用localhost或Docker别名，配置一个统一的域名（如minio.yourdomain.com）：

1. 在DNS服务器中配置该域名指向MinIO服务器的公网IP；
2. Docker内部通过自定义网络，确保Flask应用能通过该域名解析到MinIO服务；
3. Flask客户端初始化时直接使用该域名作为Endpoint。

这样内部连接和外部访问使用同一个域名，预签名URL的签名与访问地址完全一致，从根源解决问题。

Dockerfile #

FROM python:3.9-slim

# Install dependencies for psycopg2-binary
RUN apt-get update && apt-get install -y \
    gcc \
    libpq-dev \
    && rm -rf /var/lib/apt/lists/*

WORKDIR /app

COPY . /app

RUN pip install --no-cache-dir -r requirements.txt

EXPOSE 5000

ENV FLASK_APP=server/server.py

ENV PYTHONPATH=/app

CMD ["flask", "run", "--host=0.0.0.0"]

修改前的docker-compose.yml #

version: '3.8'

services:
  flask_app:
    build:
      context: .
      dockerfile: Dockerfile
    environment:
      MINIO_ACCESS_KEY: abc123
      MINIO_SECRET_KEY: 123abc
      MINIO_BROWSER_REDIRECT_URL: localhost:9001
      MINIO_SERVER_URL: localhost:9001
    ports:
      - "5000:5000"
    depends_on:
      - minio
    volumes:
      - .:/app

  minio:
    image: minio/minio:latest
    environment:
      MINIO_ACCESS_KEY: abc123
      MINIO_SECRET_KEY: 123abc
    volumes:
      - minio-data:/data
    ports:
      - "9000:9000"
      - "9001:9001"
    command: server --address ":9000" --console-address ":9001" /data

volumes:
  minio-data:

内容的提问来源于stack exchange，提问作者Pedro Rossi