使用FileSaver.js调用MinIO预取URL报403 SignatureDoesNotMatch问题求助

我尝试用FileSaver.js通过saveAs(minio-prefetch-url,'file.pdf')下载文件，但发送HEAD请求时MinIO返回403错误：

Status Code: 403 Forbidden
Referrer Policy: strict-origin-when-cross-origin

响应头详情：

Server: MinIO
Strict-Transport-Security: max-age=31536000; includeSubDomains
Vary: Accept-Encoding
Vary: Origin
X-Amz-Id-2: dd9025bab4ad464b049177c95eb6ebf374d3b3fd1af9251148b658df7ac2e3e8
X-Amz-Request-Id: 1790AD52C0D34F55
X-Content-Type-Options: nosniff
X-Minio-Error-Code: SignatureDoesNotMatch
X-Minio-Error-Desc: "The request signature we calculated does not match the signature you provided. Check your key and signing method."
X-Xss-Protection: 1; mode=block

请求失败后，在新标签页打开该链接可正常显示PDF内容，说明URL中的签名有效。

环境信息：

• MinIO镜像：quay.io/minio/minio:RELEASE.2023-10-16T04-13-43Z
• Traefik版本：traefik:v2.10
• 应用部署域名：app.example.com，MinIO部署域名：minio.example.com
• 已通过MinIO控制台配置API跨域（CORS）：
  

原因分析 #

FileSaver.js的saveAs方法会先发送HEAD请求校验文件元信息，但MinIO的预签名URL默认和请求方法（GET）绑定，HEAD请求使用该签名会触发SignatureDoesNotMatch错误；而新标签页打开用的是GET请求，所以能正常访问。

具体解决方法 #

1. 修改预签名URL生成逻辑
   生成MinIO预签名URL时，指定允许HEAD请求方法。以MinIO Python SDK为例：

from minio import Minio

client = Minio(...)
# 生成支持HEAD方法的预签名URL
presigned_url = client.presigned_get_object(
    "bucket-name",
    "object-name",
    method="HEAD"
)

这样生成的URL可同时用于GET和HEAD请求，避免签名不匹配。

2. 绕过HEAD请求直接下载
   放弃使用FileSaver.js的saveAs，改用原生a标签模拟下载，跳过HEAD请求校验：

const downloadFile = (url, filename) => {
  const link = document.createElement('a');
  link.href = url;
  link.download = filename;
  document.body.appendChild(link);
  link.click();
  document.body.removeChild(link);
};

// 调用下载
downloadFile('minio-prefetch-url', 'file.pdf');

该方式和新标签页打开逻辑一致，直接发送GET请求下载，不会触发签名问题。

3. 检查Traefik转发配置
   确认Traefik在转发请求到MinIO时，没有修改Host、Origin等影响签名校验的HTTP头。可在Traefik配置中添加passHostHeader: true确保原始Host头被正确转发：

# Traefik路由示例配置
services:
  minio:
    loadBalancer:
      servers:
        - url: "http://minio:9000"
    passHostHeader: true

4. 验证MinIO CORS配置
   确认CORS规则中明确允许HEAD方法，来源设置为app.example.com。可通过MinIO CLI查看当前配置：

mc admin config get <alias> cors

确保配置包含：

{
  "AllowedOrigins": ["https://app.example.com"],
  "AllowedMethods": ["GET", "HEAD", "PUT", "POST", "DELETE"],
  "AllowedHeaders": ["*"],
  "ExposeHeaders": ["ETag"],
  "MaxAgeSeconds": 3000
}

内容的提问来源于stack exchange，提问作者user3714967