使用Boto3生成Presigned Post上传S3时遇AWSAccessKeyId相关错误

问题根源 #

你遇到的矛盾错误是S3签名机制的检测逻辑导致的：当表单缺少S3v4签名必填字段时，S3会默认尝试旧的v2签名机制，这时就会要求你提供AWSAccessKeyId；但手动添加该字段后，S3会用v2机制验证你的v4签名，自然就触发了“授权机制不支持”的冲突报错。

具体解决步骤 #

• 严格复用boto3返回的所有字段，禁止手动增删
  调用create_presigned_post后，返回结果里的fields字典包含了S3v4签名所需的全部必填字段（比如x-amz-algorithm、x-amz-credential、x-amz-date、x-amz-signature等），必须把这些字段全部以隐藏输入框的形式加到HTML表单里，一个都不能少。

• 确保表单基础属性正确
  表单必须配置：

  • method="POST"
  • enctype="multipart/form-data"
  • action属性为返回结果里的url值（即你的S3 Bucket的POST端点）

• 严格遵循字段顺序
  S3对POST表单的字段顺序有严格要求，签名是基于字段顺序生成的。渲染表单时，要按照fields字典的键顺序输出隐藏字段，最后再放置文件上传的<input type="file" name="file">字段。

示例代码 #

Python生成预签名POST的代码

import boto3
from botocore.config import Config

s3_client = boto3.client(
    's3',
    config=Config(signature_version='s3v4')
)

response = s3_client.create_presigned_post(
    Bucket='your-bucket-name',
    Key='uploads/${filename}',  # 可自定义文件路径规则
    Conditions=[
        ['content-length-range', 0, 10485760]  # 可选：限制上传文件大小（这里是10MB）
    ],
    ExpiresIn=3600
)

对应的HTML表单示例（基于Python返回的response）

<form action="{{ response['url'] }}" method="POST" enctype="multipart/form-data">
  <!-- 按顺序渲染boto3返回的所有签名字段 -->
  {% for key, value in response['fields'].items() %}
    <input type="hidden" name="{{ key }}" value="{{ value }}">
  {% endfor %}
  <!-- 文件上传字段必须放在最后 -->
  <input type="file" name="file">
  <button type="submit">上传文件</button>
</form>

额外说明 #

x-amz-credential字段里确实包含了你的AWS Access Key ID，但这是S3v4签名机制的组成部分，不需要单独提取出来作为AWSAccessKeyId字段提交。只要完整包含boto3返回的所有签名字段，S3就会自动识别并使用S3v4机制验证签名，不会再要求你提供AWSAccessKeyId。

内容的提问来源于stack exchange，提问作者Justin