AWS S3无ACL桶上传异常：SDK与CLI行为差异疑问

问题背景 #

用aws-sdk-go v1.44.156开发的插件上传文件到关闭ACL的S3桶时，默认传private ACL报错The bucket does not allow ACLs，传空ACL仍报错，传bucket-owner-full-control却成功；但AWS CLI传空ACL能正常上传，以下是针对疑问的具体解答：

疑问解答 #

1. 为什么传递空ACL值会失败？
   AWS文档提到的private是默认ACL，指的是完全不指定ACL参数时，S3自动应用的权限逻辑。但在aws-sdk-go v1中，如果你主动设置空字符串作为ACL值，SDK会把ACL=""这个参数明确发送给S3 API。而关闭ACL的桶会拒绝任何带有ACL参数的请求（包括空值），因此返回400错误。你误以为的“空值等于默认”是误解——SDK传递空值和完全不传递参数是两种完全不同的行为。

2. 桶已关闭ACL，为什么传递bucket-owner-full-control能成功？
   当S3桶关闭ACL后，仅允许一个特殊的ACL值：bucket-owner-full-control。它并不是用来设置传统的ACL规则，而是作为一个标识，告诉S3要确保桶的所有者对上传的对象拥有完全控制权——这是跨账户上传场景下的常见需求，S3允许这个值绕过ACL禁用限制，因为它不涉及修改桶或对象的ACL策略，只是强制保障桶主权限。

3. 为什么AWS CLI传递空ACL值可正常上传？
   AWS CLI在处理空ACL（比如用--acl ""或者完全不指定--acl参数）时，不会向S3 API发送任何ACL相关参数。此时S3会按照关闭ACL后的逻辑处理：应用桶的默认权限（由桶策略、IAM权限等控制），而非尝试设置ACL。和SDK的核心区别在于，CLI不会主动发送空的ACL参数，而SDK设置空字符串会主动发送，因此触发了桶的ACL禁用校验。

解决方案（无需开启桶ACL） #

在aws-sdk-go v1中，不要主动设置ACL参数（包括空值），直接移除ACL相关配置代码。如果必须处理参数传递，确保不要调用PutObjectInput.SetACL()方法，或者将ACL字段设为nil（而非空字符串），这样SDK就不会向S3 API发送ACL参数，即可正常上传。

示例代码片段：

input := &s3.PutObjectInput{
    Bucket: aws.String("your-bucket-name"),
    Key:    aws.String("target-object-key"),
    Body:   fileStream,
    // 不要设置ACL字段，也不要调用SetACL方法
}

_, err := s3Client.PutObject(context.TODO(), input)

内容的提问来源于stack exchange，提问作者DEVKI NANDAN MITTAL