如何为非美国区域S3桶生成虚拟托管式预签名URL？

算力阿峰

2026-6-28

问题描述

我尝试用boto3库为me-central-1区域的S3桶生成预签名URL，初始代码如下：

client = boto3.client("s3", region_name="me-central-1")

return client.generate_presigned_url(
    ClientMethod="put_object",
    Params={"Bucket": bucket, "Key": path},
)

生成的URL格式为：
https://bucket.s3.amazonaws.com/path?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential={CREDENTIAL}/{DATE}/me-central-1/s3/aws4_request&X-Amz-Date={DATETIME}&X-Amz-Expires=1800&X-Amz-SignedHeaders=host&X-Amz-Signature={SIGNATURE}

使用该URL时触发IllegalLocationConstraintException错误，提示：
The me-central-1 location constraint is incompatible for the region specific endpoint this request was sent to.

研究后得知非us-east-1区域的S3端点需要包含区域信息，于是修改客户端初始化代码：

client = boto3.client("s3", region_name="me-central-1", endpoint_url="https://s3.me-central-1.amazonaws.com")

生成的URL格式为：
https://s3.me-central-1.amazonaws.com/bucket/path?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential={CREDENTIAL}/{DATE}/me-central-1/s3/aws4_request&X-Amz-Date={DATETIME}&X-Amz-Expires=1800&X-Amz-SignedHeaders=host&X-Amz-Signature={SIGNATURE}

这个URL可以正常使用，但属于路径式请求（而非虚拟托管式请求），官方说明路径式请求将被停用，无法作为长期方案。我尝试手动将路径式URL改为虚拟托管式，却触发SignatureDoesNotMatch错误，提示：
The request signature we calculated does not match the signature you provided. Check your key and signing method

我的问题：是否有办法让boto3客户端返回有效的虚拟托管式预签名URL？

解决方案

可以通过配置boto3的Config参数强制使用虚拟托管风格请求，同时搭配正确的区域端点配置来解决：

初始化客户端时添加Config配置，指定寻址风格为虚拟托管：

import boto3
from botocore.config import Config

# 配置S3寻址风格为虚拟托管
s3_config = Config(
    region_name="me-central-1",
    s3={"addressing_style": "virtual"}
)

# 初始化带配置的S3客户端
client = boto3.client(
    "s3",
    region_name="me-central-1",
    endpoint_url="https://s3.me-central-1.amazonaws.com",
    config=s3_config
)

# 生成预签名URL
presigned_url = client.generate_presigned_url(
    ClientMethod="put_object",
    Params={"Bucket": bucket, "Key": path}
)

生成的URL格式验证：
最终生成的URL为虚拟托管式，格式如下：
https://bucket.s3.me-central-1.amazonaws.com/path?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential={CREDENTIAL}/{DATE}/me-central-1/s3/aws4_request&X-Amz-Date={DATETIME}&X-Amz-Expires=1800&X-Amz-SignedHeaders=host&X-Amz-Signature={SIGNATURE}

注意事项

addressing_style": "virtual" 是核心配置，它会让boto3在签名时使用bucket.s3.me-central-1.amazonaws.com作为Host头，确保签名与虚拟托管式URL匹配，避免手动修改URL导致的签名错误。
桶名需符合虚拟托管要求：不能包含大写字母、下划线，也不能是IP地址格式，否则无法使用虚拟托管风格。
无需手动调整生成的URL，boto3会自动生成符合要求的有效预签名URL。

内容的提问来源于stack exchange，提问作者pmoct

如何为非美国区域S3桶生成虚拟托管式预签名URL？

注意事项 #

注意事项