Nginx代理Minio临时URL时签名验证失败的解决方案咨询

核心原因 #

Minio生成预签名URL时，签名是基于自身内部主机地址（http://minio-host:minio-port）计算的，而外部访问使用的是Nginx代理地址（http://my-host/minio），两者不匹配导致签名验证失败。

解决方案 #

1. 配置Minio使用外部代理地址生成预签名URL #

在Docker启动Minio容器时，添加MINIO_SERVER_URL环境变量，指定外部可访问的完整URL。这个配置会让Minio生成预签名URL时直接使用该外部地址，确保签名与代理后的请求地址一致。

Docker启动命令示例：

docker run -d \
  -p minio-port:9000 \
  -e MINIO_ROOT_USER=your-user \
  -e MINIO_ROOT_PASSWORD=your-password \
  -e MINIO_SERVER_URL=http://my-host/minio \
  -v ./data:/data \
  minio/minio server /data

2. 配置Nginx正确转发请求 #

确保Nginx将外部代理路径的请求正确转发到Minio内部地址，同时保留所有请求参数（包括签名信息），并传递正确的头部信息。

Nginx配置示例：

server {
    listen 80;
    server_name my-host;

    location /minio/ {
        # 转发到Minio内部地址，末尾斜杠确保路径正确映射
        proxy_pass http://minio-host:minio-port/;
        # 传递原始请求的Host头
        proxy_set_header Host $http_host;
        # 传递客户端真实IP
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 传递请求协议（http/https）
        proxy_set_header X-Forwarded-Proto $scheme;
        # 保留请求的查询参数（包含预签名的签名信息）
        proxy_pass_request_query on;
    }
}

3. 代码层面自定义预签名URL的地址（备选方案） #

如果无法修改Minio的启动配置，可以在生成预签名URL时，通过SDK指定外部代理地址作为请求的Host或Endpoint。以Java SDK为例：

MinioClient minioClient = MinioClient.builder()
        .endpoint("http://minio-host:minio-port")
        .credentials("your-user", "your-password")
        .build();

// 创建预签名请求
PresignedGetObjectRequest request = PresignedGetObjectRequest.builder()
        .bucket("file")
        .object("333/test.jpg")
        .expiry(7, TimeUnit.DAYS)
        // 指定外部代理的Host
        .host("my-host")
        .build();

// 生成的URL将使用指定的外部地址
String presignedUrl = minioClient.getPresignedObjectUrl(request);

验证步骤 #

1. 重启Minio和Nginx服务，确保配置生效
2. 生成预签名URL，检查URL中的主机地址是否为my-host而非minio-host:minio-port
3. 通过代理地址访问该URL，确认文件可以正常获取

内容的提问来源于stack exchange，提问作者Danzxz