使用C#获取AWS S3桶内容时遭遇Access Denied问题排查

核心问题分析 #

ListObjectsV2能成功执行，说明你的IAM身份已经具备s3:ListBucket权限，但GetObjectAsync失败，大概率是缺少对象读取权限或权限配置范围不对，下面是具体排查和解决步骤：

1. 补全IAM用户的s3:GetObject权限 #

打开IAM控制台，找到对应的用户/角色，检查附加的策略：

• 必须添加针对目标桶web-scraper下所有对象的s3:GetObject权限，注意资源路径要写arn:aws:s3:::web-scraper/*（桶下所有对象），而不是桶本身的ARN。示例策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::web-scraper"
        },
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::web-scraper/*"
        }
    ]
}

2. 检查对象自身的ACL权限 #

有些情况下，即使IAM用户有全局权限，单个对象的ACL可能设置为仅所有者可读。进入S3控制台找到那个最新对象，查看它的权限设置，确保你的IAM用户或所属组有读取权限。

3. 排查桶策略的限制 #

桶本身的策略可能存在拒绝s3:GetObject的规则，即使IAM用户有权限也会被拦截。打开桶的“权限”标签页，查看桶策略，确认没有类似下面的拒绝语句：

{
    "Effect": "Deny",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::web-scraper/*",
    "Principal": "*"
}

如果有，需要调整策略逻辑，确保你的IAM身份不在拒绝范围内。

4. 验证S3客户端配置 #

代码里的ServiceURL写的是https://www.example.com/，这不是AWS官方的S3端点（正常应该是https://s3.eu-north-1.amazonaws.com这类）。如果用的是兼容S3的第三方存储，得确认这个端点URL正确，且对应服务的权限配置和AWS一致；如果是AWS S3，直接删掉ServiceURL配置，SDK会根据区域自动生成正确端点。

另外，确认RegionEndpoint和桶实际所在的区域完全一致，跨区域访问也可能触发权限问题。

5. 代码优化建议（非权限问题，但更规范） #

把S3客户端通过依赖注入注册，而不是在控制器构造函数里直接实例化，符合ASP.NET最佳实践：

// Program.cs中注册服务
builder.Services.AddAWSService<IAmazonS3>();

// 控制器中注入
private readonly IAmazonS3 _s3Client;
public ScraperController(ILogger<ScraperController> logger, IAmazonS3 s3Client)
{
    _logger = logger;
    _s3Client = s3Client;
}

内容的提问来源于stack exchange，提问作者Lucas Fransson