Nginx反向代理Minio预签名URL遇SignatureDoesNotMatch错误求助

Minio预签名URL的签名计算依赖请求的主机头（Host）、请求路径等核心参数，反向代理后实际发往Minio的请求参数和生成签名时的参数不一致，就会触发签名验证失败。以下是具体解决方法：

方法1：配置Nginx传递正确的请求参数 #

修改Nginx配置，确保转发给Minio的请求保留代理域名作为Host头，且不篡改原始请求路径：

server {
    listen 80;
    server_name xyzminio.example.com;

    location / {
        # 传递代理域名作为Host头给Minio
        proxy_set_header Host $host;
        # 可选：传递客户端真实IP
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 直接转发完整请求路径到Minio原始地址
        proxy_pass http://abc.example.com:9000;
        # 修正Minio返回的重定向地址（如果有）
        proxy_redirect http://abc.example.com:9000/ http://xyzminio.example.com/;
    }
}

方法2：让Minio信任代理域名 #

启动Minio时添加--domain参数，允许代理域名作为合法的请求主机头：

minio server ./data --domain xyzminio.example.com

也可以在Minio配置文件中设置domain字段，效果一致。

方法3：用代理域名生成预签名URL #

如果你的应用之前是基于Minio原始域名（abc.example.com:9000）生成预签名URL，必须改成用代理域名（xyzminio.example.com）生成。以Python SDK为例：

from minio import Minio

client = Minio(
    "xyzminio.example.com",
    access_key="你的AccessKey",
    secret_key="你的SecretKey",
    secure=False,  # 根据实际HTTPS配置调整
)

额外检查项 #

• 确认Nginx代理规则没有修改请求路径，比如如果代理/presigned_url到Minio根路径，预签名URL的路径必须对应调整，或者直接转发完整路径。
• 若使用HTTPS，确保Minio和Nginx的SSL配置一致，预签名URL使用https协议。
• 检查预签名URL中是否包含Host参数，确保其值和代理域名完全匹配。

内容的提问来源于stack exchange，提问作者pbms