Minio预签名URL PUT请求403未授权（生产环境异常）

核心问题分析 #

本地环境正常但生产环境预签名PUT请求403，大概率是签名验证不匹配或代理配置导致请求头异常，结合你的Nginx配置和场景，重点排查以下几点：

1. Nginx代理的Host头错误（最可能原因） #

Minio的签名验证依赖Host头，你的外层Nginx（处理https://s3.evvrything.com）在转发请求时，默认会把Host设为后端代理地址nginx-s3:9000，但预签名URL是基于https://s3.evvrything.com生成的，两者不匹配导致签名验证失败。

修改外层Nginx的443 server配置：

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name s3.evvrything.com;    
    ssl_certificate /etc/nginx/ssl/live/evvrything.com/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/live/evvrything.com/privkey.pem;

    location / {
      proxy_pass http://nginx-s3;
      # 关键：传递生产环境真实Host给Minio
      proxy_set_header Host $host;
      # 传递外部协议（HTTPS），确保Minio识别正确的请求协议
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

2. 预签名URL生成参数错误 #

• 生成预签名时，必须使用生产环境Endpoint https://s3.evvrything.com，而非Minio内部地址（如http://minio:9000）
• 确保SDK初始化时开启secure=true（对应HTTPS协议），示例：

# 生产环境Minio客户端初始化示例
client = Minio(
    "s3.evvrything.com",
    access_key="你的AK",
    secret_key="你的SK",
    secure=True
)

3. Minio代理协议支持 #

如果Minio部署在Nginx之后，需要让Minio信任X-Forwarded系列请求头：

• 启动Minio时添加参数：--proxy-protocol
• 或在Minio配置文件中设置：proxy_protocol = on

4. 服务器时间同步 #

Minio签名验证对时间敏感，生成预签名的服务器（如你的后端服务）与Minio服务器时间差不能超过15分钟。执行date命令对比两台服务器时间，若不同步，用ntpdate或timedatectl同步时间。

调试步骤 #

1. 用curl直接测试预签名URL，获取详细错误信息：

curl -v -X PUT "你的预签名URL" -d "test content"

若返回The request signature we calculated does not match the signature you provided，则确认是签名参数不匹配问题。

2. 查看Minio日志，检查请求的Host头和签名失败原因：

• 容器部署：docker logs minio1（替换为你的Minio容器名）
• 物理机部署：查看~/.minio/logs/下的日志文件

3. 检查CORS配置（次要）：
   确保Minio允许前端域名的PUT请求，在Minio控制台配置CORS规则：

{
  "CORSRules": [
    {
      "AllowedOrigins": ["https://你的前端域名"],
      "AllowedMethods": ["PUT", "GET", "POST", "DELETE"],
      "AllowedHeaders": ["*"],
      "ExposeHeaders": ["ETag"],
      "MaxAgeSeconds": 3000
    }
  ]
}

内容的提问来源于stack exchange，提问作者qubicswap.com