使用Boto3生成S3预签名URL时遇AWS4-HMAC-SHA256授权错误

我用AWS Python SDK BOTO3生成S3文件的预签名URL，一直收到以下错误：

return (<Error>
    <Code>InvalidRequest</Code>
    <Message>The authorization mechanism you have provided is not supported. Please use AWS4-HMAC-SHA256.</Message>
    <RequestId>TCS5AKTVFTRPH8E8</RequestId>
    <HostId>Kji20SQmp7DM3hdanuW+8xXqDyDQ2U0i15yPwSjjVEOyOrpZBa1/AthiSNaGPUL0feqhunb3ZTo=</HostId>
</Error>
)

预签名URL的生成代码直接取自Boto3官方文档，已做过这些尝试：

• AWS控制台生成的预签名URL能正常访问所有文件
• 在Shell、Postman、Python脚本里生成URL全无效，Stack Overflow上的相关方案也没解决问题

可行的解决步骤 #

1. 显式指定存储桶所在区域 #

AWS4-HMAC-SHA256是大部分新区域（如ap-southeast-1、eu-west-1）强制要求的签名算法，必须确保Boto3客户端使用桶对应的区域。初始化客户端时直接指定：

import boto3

s3_client = boto3.client('s3', region_name='你的桶所在区域')

2. 强制开启S3v4签名版本 #

不管是配置文件还是代码里，都要明确指定使用S3v4签名：

• 修改本地~/.aws/config文件：

[default]
signature_version = s3v4
region = 你的桶所在区域

• 或者在代码中直接配置客户端：

s3_client = boto3.client(
    's3',
    region_name='你的桶所在区域',
    config=boto3.session.Config(signature_version='s3v4')
)

3. 验证IAM权限和凭证区域 #

确保使用的AWS密钥和存储桶同属一个区域，且密钥对应的IAM用户/角色有s3:GetObject权限，示例IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::你的桶名/*"
        }
    ]
}

4. 升级Boto3和Botocore版本 #

旧版本的SDK可能对新区域签名支持不完善，执行升级：

pip install --upgrade boto3 botocore

5. 检查预签名URL生成代码细节 #

确认代码里的桶名、对象键完全正确，示例正确的生成函数：

def create_presigned_url(bucket_name, object_name, expiration=3600):
    s3_client = boto3.client('s3', region_name='你的桶所在区域', config=boto3.session.Config(signature_version='s3v4'))
    try:
        response = s3_client.generate_presigned_url(
            'get_object',
            Params={'Bucket': bucket_name, 'Key': object_name},
            ExpiresIn=expiration
        )
    except Exception as e:
        print(e)
        return None
    return response

内容的提问来源于stack exchange，提问作者Ranai Srivastav