IAM用户控制台生成Presigned URL可用，代码生成的却报访问拒绝

可能的原因及排查步骤 #

1. 验证环境变量配置正确性
   Netlify函数中的环境变量可能未正确加载或存在拼写错误：

   • 确认Netlify后台已正确设置AWS_FMUSER_KEY和AWS_FMUSER_SECRET_KEY，变量名与代码中完全一致（区分大小写）。
   • 在函数中添加日志输出环境变量的前几位（避免泄露完整密钥），确认变量已成功读取：

     console.log('Access Key ID:', process.env.AWS_FMUSER_KEY?.slice(0, 4));
     

2. 检查对象Key的准确性
   S3对象Key区分大小写且严格匹配：

   • 确认代码中file变量的值（testFile.zip）与控制台生成URL时使用的对象Key完全一致，包括大小写、空格、特殊字符等。
   • 可以尝试在代码中直接复制控制台中显示的对象完整Key进行测试。

3. 确认SDK版本兼容性
   部分旧版本的AWS SDK v3可能存在预签名生成的bug：

   • 更新@aws-sdk/client-s3和@aws-sdk/s3-request-presigner到最新稳定版本：

     npm update @aws-sdk/client-s3 @aws-sdk/s3-request-presigner
     

4. 排查签名算法与区域配置
   即使已指定区域，显式确认SDK的签名配置可以避免潜在问题：

   • 在S3Client初始化时添加signingRegion参数（确保签名时使用正确区域）：

     const s3Client = new S3Client({ 
       region: 'us-east-2', 
       signingRegion: 'us-east-2',
       accessKeyId: process.env.AWS_FMUSER_KEY, 
       secretAccessKey: process.env.AWS_FMUSER_SECRET_KEY
     });
     

5. 检查存储桶策略与权限冲突
   即使IAM用户有允许权限，存储桶的Deny策略会优先生效：

   • 登录AWS控制台，查看目标存储桶的桶策略，确认没有针对GetObject操作的Deny语句。
   • 确保桶策略中没有限制特定IP或用户的规则，比如控制台操作来自允许的IP，但Netlify函数的IP不在范围内。

6. 测试预签名URL的原始请求
   用curl直接访问SDK生成的URL，排除浏览器CORS干扰：

   curl -v "生成的预签名URL"
   

   • 如果返回403，说明问题出在签名或权限本身；
   • 如果浏览器访问报错但curl正常，则需要调整存储桶的CORS配置，添加允许Netlify函数域名的规则：

     {
       "CORSRules": [
         {
           "AllowedOrigins": ["https://your-netlify-site.com"],
           "AllowedMethods": ["GET"],
           "AllowedHeaders": ["*"]
         }
       ]
     }
     

内容的提问来源于stack exchange，提问作者user1094779