AWS Lambda、S3预签名URL上传的403及CORS问题求助

1. 修正前端请求方法（核心问题） #

你生成预签名URL时调用的是s3_client.generate_presigned_url("put_object")，这意味着该URL仅支持PUT请求，但你的前端代码里写的是method: "POST"，这是触发403错误的直接原因。

把前端上传的请求方法改成PUT：

fetch(jsonResponse.url, {
  method: "PUT", // 必须和生成预签名URL时的操作一致
  body: myReader.result
})

2. 配置正确的S3存储桶CORS规则 #

S3的CORS配置需要明确允许你的前端域名发起PUT请求，同时开放必要的响应头。在S3控制台进入目标存储桶的「权限」→「跨域资源共享(CORS)」，替换为如下规则（将https://your-frontend-domain.com替换为你实际的前端域名）：

[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["PUT", "GET"],
        "AllowedOrigins": ["https://your-frontend-domain.com"],
        "ExposeHeaders": ["ETag"]
    }
]

注意：生产环境下AllowedOrigins不要用*，必须指定具体的前端域名，否则会触发浏览器的CORS安全拦截。

3. 验证Lambda执行角色的权限 #

确保生成预签名URL的Lambda角色拥有s3:PutObject权限，对应的IAM策略需包含：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        }
    ]
}

如果Lambda角色权限不足，生成的预签名URL本身就不具备上传权限，必然返回403。

4. 前端请求头规范 #

• 不要手动设置"Origin": "*"，浏览器会自动携带当前页面的Origin，手动设置反而可能触发CORS拦截。
• 如果上传的是KML文件，生成预签名URL时需指定对应Content-Type，前端请求也要匹配：
  Lambda代码修改：

  response = s3_client.generate_presigned_url("put_object",
    Params={'Bucket': bucket_name,'Key': object_key, 'ContentType': 'application/vnd.google-earth.kml+xml'},
    ExpiresIn=expiration)
  

  前端请求添加Content-Type头：

  fetch(jsonResponse.url, {
    method: "PUT",
    headers: {
      "Content-Type": "application/vnd.google-earth.kml+xml"
    },
    body: myReader.result
  })
  

5. 排查S3存储桶的公共访问与策略冲突 #

• 确认存储桶的「阻止公共访问」是否已关闭所有选项（测试时可临时关闭，生产环境按需配置）
• 检查桶策略是否存在拒绝PUT请求的规则，冲突的策略会直接导致403错误

6. 用curl验证预签名URL有效性 #

先排除前端因素，用curl测试生成的预签名URL：

curl -X PUT -d "test content" "你的预签名URL"

如果curl也返回403，说明问题出在预签名URL本身（权限不足、参数错误）；如果curl成功，问题则集中在前端的CORS配置或请求头。

内容的提问来源于stack exchange，提问作者Adam