如何使用.NET SDK为S3上传生成带POST Policy的预签名URL？

AWS SDK for .NET的GetPreSignedURL方法仅适用于生成预签名的GET/PUT请求URL，并不直接支持POST Policy的生成——这也是你尝试修改GetPreSignedUrlRequest后出现x-Policy而非正确Policy字段、签名失效的原因。要实现带POST Policy的预签名上传，需要手动构建Policy文档并生成对应的签名，以下是具体实现步骤和代码示例：

1. 构建POST Policy文档 #

POST Policy是JSON格式的文档，定义了上传请求的过期时间、允许的条件（比如bucket名称、文件key前缀、ACL权限等），最终需要Base64编码后作为表单字段传递。

示例代码：

using System;
using System.Text;
using System.Text.Json;
using Amazon.S3;
using Amazon.Runtime;

// 定义Policy的核心参数
var policyExpiration = DateTime.UtcNow.AddMinutes(10).ToString("yyyy-MM-ddTHH:mm:ss.fffZ");
var bucketName = "johnsmith";
var keyPrefix = "user/eric/";
var acl = "bucket-owner-full-control";

// 构建Policy的条件数组
var policyDocument = new
{
    expiration = policyExpiration,
    conditions = new[]
    {
        new { bucket = bucketName },
        new { acl = acl },
        new object[] { "starts-with", "$key", keyPrefix }
    }
};

// 序列化并Base64编码
string policyJson = JsonSerializer.Serialize(policyDocument);
byte[] policyBytes = Encoding.UTF8.GetBytes(policyJson);
string base64Policy = Convert.ToBase64String(policyBytes);

2. 生成Policy签名 #

使用AWS SDK工具类对Base64编码后的Policy进行签名，签名密钥由AWS凭证、当前日期、区域、服务规则生成。

示例代码：

// 获取AWS凭证（可从配置文件、环境变量或IAM角色自动获取）
var credentials = new BasicAWSCredentials("your-access-key", "your-secret-key");
var region = Amazon.RegionEndpoint.USWest2; // 替换为你的Bucket所在区域

// 生成符合S3要求的签名
string signature = AmazonS3Util.GeneratePostPolicySignature(
    credentials,
    base64Policy,
    region.SystemName
);

3. 组装上传所需的表单字段和URL #

预签名POST上传需要向S3的Bucket地址提交表单，表单需包含以下必要字段：

var postFields = new Dictionary<string, string>
{
    { "acl", acl },
    { "key", $"{keyPrefix}${{filename}}" }, // 保留前缀，允许用户自定义文件名
    { "policy", base64Policy },
    { "signature", signature },
    { "x-amz-algorithm", "AWS4-HMAC-SHA256" },
    { "x-amz-credential", $"{credentials.GetCredentials().AccessKey}/{DateTime.UtcNow.ToString("yyyyMMdd")}/{region.SystemName}/s3/aws4_request" },
    { "x-amz-date", DateTime.UtcNow.ToString("yyyyMMddTHHmmssZ") }
};

// S3上传地址
string uploadUrl = $"https://{bucketName}.s3.{region.SystemName}.amazonaws.com";

关键注意事项 #

• 确保AWS凭证拥有s3:PutObject权限，且Bucket的CORS配置允许前端域名发起POST请求。
• Policy中的条件需与表单字段严格匹配，否则S3会直接拒绝上传请求。
• 过期时间必须使用UTC格式，避免时区差异导致Policy提前失效。

内容的提问来源于stack exchange，提问作者richie-torres