Go Gin实现S3内存下载回传时遇403权限错误求助

问题分析 #

1. 请求体字段大小写不匹配：你请求体里的字段是filekey（全小写），但代码里用data["fileKey"]取值，导致实际拿到的fileKey是空字符串，传入S3 GetObject时因Key无效触发403。
2. 传入完整S3 URL而非对象Key：就算字段匹配，直接把完整S3 URL作为Key参数传入GetObject也是错误的——S3要求Key是对象在桶内的相对路径（比如agencies/photo/06:03:2023_17:42:42_gggi_db_er.png），不是完整URL。
3. 响应逻辑错误：代码里先调用ctx.JSON再调用ctx.Data，会导致HTTP响应重复发送，客户端大概率收到异常内容。

解决方案 #

1. 修正请求体字段匹配

把代码里获取字段的方式改成data["filekey"]，和请求体的字段名保持一致：

fileKeyStr, ok := data["filekey"]
if !ok || fileKeyStr == "" {
    ctx.JSON(http.StatusBadRequest, gin.H{"error": "filekey不能为空"})
    return
}

2. 解析S3 URL提取对象Key

用net/url包解析传入的完整S3 URL，提取桶内的对象Key，同时解码URL里的编码字符（比如%3A转成:）：

import (
    "net/url"
    "strings"
)

// ...

// 解析S3 URL
u, err := url.Parse(fileKeyStr)
if err != nil {
    ctx.JSON(http.StatusBadRequest, gin.H{"error": "无效的S3链接格式"})
    return
}

// 提取对象Key（去掉路径开头的/）
fileKey := strings.TrimPrefix(u.Path, "/")
// 解码URL编码的字符
fileKey, err = url.QueryUnescape(fileKey)
if err != nil {
    ctx.JSON(http.StatusBadRequest, gin.H{"error": "文件Key解码失败"})
    return
}

3. 修正响应逻辑

HTTP响应只能返回一次，删掉多余的ctx.JSON，直接返回文件数据，同时设置响应头让浏览器识别为下载：

// 初始化内存缓冲区（空缓冲区会自动扩容，不用预设大小）
w := manager.NewWriteAtBuffer([]byte{})

// 下载文件到内存
numBytesDownloaded, err := downloader.Download(ctx, w, &s3.GetObjectInput{
    Bucket: aws.String(bucketName),
    Key:    aws.String(fileKey),
})
if err != nil {
    log.Println("下载错误:", err)
    ctx.JSON(http.StatusInternalServerError, gin.H{"error": err.Error()})
    return
}

// 设置下载响应头
ctx.Header("Content-Disposition", fmt.Sprintf("attachment; filename=\"%s\"", filepath.Base(fileKey)))
ctx.Header("Content-Length", fmt.Sprintf("%d", numBytesDownloaded))
// 返回文件数据
ctx.Data(http.StatusOK, "application/octet-stream", w.Bytes())

4. 权限验证（可选）

虽然上传接口正常，但可以确认你的IAM用户是否拥有s3:GetObject权限，策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::你的桶名/*"
        }
    ]
}

完整修正后的接口代码 #

import (
    "fmt"
    "log"
    "net/url"
    "strings"
    "path/filepath"
    "net/http"

    "github.com/gin-gonic/gin"
    "github.com/aws/aws-sdk-go-v2/aws"
    "github.com/aws/aws-sdk-go-v2/service/s3"
    "github.com/aws/aws-sdk-go-v2/feature/s3/manager"
)

// ...

router.POST("/download-s3", func(ctx *gin.Context) {
    var data map[string]string

    if err := ctx.ShouldBindJSON(&data); err != nil {
        log.Println("请求体绑定错误:", err)
        ctx.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
        return
    }

    fileKeyStr, ok := data["filekey"]
    if !ok || fileKeyStr == "" {
        ctx.JSON(http.StatusBadRequest, gin.H{"error": "filekey不能为空"})
        return
    }

    // 解析S3 URL
    u, err := url.Parse(fileKeyStr)
    if err != nil {
        ctx.JSON(http.StatusBadRequest, gin.H{"error": "无效的S3链接格式"})
        return
    }

    // 提取并解码对象Key
    fileKey := strings.TrimPrefix(u.Path, "/")
    fileKey, err = url.QueryUnescape(fileKey)
    if err != nil {
        ctx.JSON(http.StatusBadRequest, gin.H{"error": "文件Key解码失败"})
        return
    }

    // 初始化内存缓冲区
    w := manager.NewWriteAtBuffer([]byte{})

    // 下载文件到内存
    numBytesDownloaded, err := downloader.Download(ctx, w, &s3.GetObjectInput{
        Bucket: aws.String(bucketName),
        Key:    aws.String(fileKey),
    })
    if err != nil {
        log.Println("下载错误:", err)
        ctx.JSON(http.StatusInternalServerError, gin.H{"error": err.Error()})
        return
    }

    // 设置下载响应头并返回文件
    ctx.Header("Content-Disposition", fmt.Sprintf("attachment; filename=\"%s\"", filepath.Base(fileKey)))
    ctx.Header("Content-Length", fmt.Sprintf("%d", numBytesDownloaded))
    ctx.Data(http.StatusOK, "application/octet-stream", w.Bytes())
})

内容的提问来源于stack exchange，提问作者Jackk-Doe