Strapi集成S3：预览已上传图片时出现403禁止访问错误

核心背景 #

按照官方指南完成Strapi+AWS S3部署后，图片可正常上传，但预览/下载时返回GET https://<bucket>.amazonaws.com/<file>.jpg?width=736&height=920 403 (Forbidden)；已解决CSP问题，且未过度放宽S3权限配置。

可能的问题点及解决方法 #

1. Strapi未生成带签名的私有对象访问URL #

你的S3桶为私有配置（阻止公共访问+无公开权限），直接访问对象URL会因缺少身份验证被拒绝。需确认Strapi的S3插件是否开启签名URL生成：

• 在config/plugins.ts的S3配置中添加signUrl: true参数：

export default ({ env }) => ({
  // ...其他配置
  upload: {
    config: {
      provider: 'aws-s3',
      providerOptions: {
        accessKeyId: env('AWS_ACCESS_KEY_ID'),
        secretAccessKey: env('AWS_ACCESS_SECRET'),
        region: env('AWS_REGION'),
        params: {
          Bucket: env('AWS_BUCKET'),
        },
        signUrl: true, // 开启签名URL生成
      },
      actionOptions: {
        upload: {},
        uploadStream: {},
        delete: {},
      },
    },
  },
});

开启后，Strapi会为预览链接生成带临时签名的URL，而非直接暴露私有桶的对象地址。

2. IAM用户权限不足 #

即使是桶所有者的IAM用户，也需要明确权限来读取对象并生成签名URL。检查该用户的权限策略，确保包含以下内容：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",    // 上传文件
        "s3:GetObject",    // 读取文件（生成签名URL必需）
        "s3:DeleteObject", // 删除文件
        "s3:ListBucket"    // 列出桶内文件（Strapi管理文件需要）
      ],
      "Resource": [
        "arn:aws:s3:::你的桶名称",
        "arn:aws:s3:::你的桶名称/*"
      ]
    }
  ]
}

缺少s3:GetObject权限会导致无法生成有效签名URL，直接返回403。

3. 对象上传时的ACL配置冲突 #

确认Strapi上传文件时设置的ACL与桶权限匹配：

• 在S3插件配置的params中，明确设置ACL: 'private'：

params: {
  Bucket: env('AWS_BUCKET'),
  ACL: 'private', // 与私有桶策略保持一致
},

若上传时ACL设置错误（比如设为public-read但桶阻止公共访问），会导致对象权限异常，即使所有者也无法正常访问。

4. CORS配置缺失（潜在后续问题） #

虽然当前报错是403，但前端直接请求S3签名URL时，浏览器会校验CORS规则。建议在S3桶的CORS配置中添加允许前端域名的规则：

<CORSConfiguration>
  <CORSRule>
    <AllowedOrigin>https://你的前端域名.com</AllowedOrigin>
    <AllowedMethod>GET</AllowedMethod>
    <AllowedHeader>*</AllowedHeader>
  </CORSRule>
</CORSConfiguration>

无正确CORS配置的话，即使签名URL有效，浏览器也会拦截请求。

内容的提问来源于stack exchange，提问作者Pinkney