如何配置Nginx代理存储在AWS S3中的静态资源？

如果直接用proxy_pass没生效，大概率是配置细节没处理对，比如S3的Host头、路径拼接、权限问题。下面是完整的配置方案和排查要点：

基础公开桶配置 #

假设你的S3桶名为my-static-bucket，要通过Nginx的/static/路径代理到S3，配置如下：

server {
    listen 80;
    server_name your-domain.com;

    location /static/ {
        # 注意S3地址末尾必须带/，否则路径拼接会出错
        proxy_pass https://my-static-bucket.s3.amazonaws.com/;
        # 强制设置Host头为S3桶域名，这是S3识别桶的关键
        proxy_set_header Host my-static-bucket.s3.amazonaws.com;
        # 清空Authorization头，避免Nginx传递不必要的认证信息
        proxy_set_header Authorization '';
        # 隐藏S3返回的冗余响应头
        proxy_hide_header x-amz-id-2;
        proxy_hide_header x-amz-request-id;
        proxy_hide_header x-amz-meta-server-side-encryption;
        # 忽略Set-Cookie头，避免客户端存储不必要的Cookie
        proxy_ignore_headers "Set-Cookie";
    }
}

关键配置说明 #

• proxy_pass末尾的/：如果不带这个斜杠，Nginx会把/static/后面的路径拼接到S3地址后，比如访问/static/logo.png会变成https://my-static-bucket.s3.amazonaws.com/static/logo.png，而不是正确的https://my-static-bucket.s3.amazonaws.com/logo.png。
• Host头：S3依赖Host头来确定请求的桶，必须设置为桶的完整域名，否则会返回403或404。

私有S3桶的代理配置 #

如果你的桶是私有（不允许公开访问），需要给请求添加AWS签名，这里可以使用Nginx的aws_auth模块（需编译安装），配置示例：

server {
    listen 80;
    server_name your-domain.com;

    location /static/ {
        proxy_pass https://my-static-bucket.s3.amazonaws.com/;
        proxy_set_header Host my-static-bucket.s3.amazonaws.com;
        
        # 替换为你的AWS访问密钥和区域
        aws_access_key YOUR_AWS_ACCESS_KEY;
        aws_secret_key YOUR_AWS_SECRET_KEY;
        aws_region us-east-1;
        # 开启请求签名
        aws_sign_request;
    }
}

排查失效问题的步骤 #

• 验证S3资源可直接访问：用curl或浏览器访问S3资源的原始URL（比如https://my-static-bucket.s3.amazonaws.com/logo.png），如果无法访问，先解决S3的权限问题（比如调整桶策略、对象ACL）。
• 检查Nginx配置语法：执行nginx -t验证配置是否合法，有错误及时修正后重启Nginx（systemctl restart nginx）。
• 查看Nginx日志：通过tail -f /var/log/nginx/error.log和access.log查看请求状态码，比如403说明权限问题，404说明路径拼接错误。
• 确认桶策略：如果是公开桶，确保桶策略包含允许所有用户读取对象的规则；如果是私有桶，确保AWS密钥拥有s3:GetObject权限。

内容的提问来源于stack exchange，提问作者john_0xFF