boto3生成S3预签名URL时端点与存储桶冲突致路径错误

核心原因分析 #

你遇到的预签名URL多了一层桶名目录的问题，根源是Endpoint配置与Bucket参数的冲突：当你把AWS_S3_ENDPOINT_URL设为https://video-sftp.s3.amazonaws.com（带桶名的虚拟主机格式端点），boto3会将这个地址当作通用S3网关端点，进而把你指定的Bucket="video-sftp"参数当作路径前缀追加到URL中，最终生成错误的地址。

而切换到区域标准端点https://s3.us-east-1.amazonaws.com时出现403，大概率是IAM权限配置不匹配，和CORS策略关系不大（CORS主要处理浏览器跨域请求，预签名URL的403更多是权限或签名问题）。

解决方案一：使用标准区域端点（推荐） #

这是S3的标准配置方式，兼容性和灵活性更好：

1. 修正Endpoint配置
   将AWS_S3_ENDPOINT_URL改为对应区域的标准端点：

   AWS_S3_ENDPOINT_URL='https://s3.us-east-1.amazonaws.com'
   

2. 确保IAM权限正确
   检查你的AWS访问密钥对应的IAM用户/角色，必须拥有生成预签名URL所需的操作权限（比如下载用s3:GetObject，上传用s3:PutObject），示例IAM策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::video-sftp/*"
           }
       ]
   }
   

3. 验证预签名代码
   确保boto3客户端初始化和预签名生成代码正确：

   import boto3
   
   # 初始化S3客户端
   s3_client = boto3.client(
       's3',
       region_name='us-east-1',
       endpoint_url='https://s3.us-east-1.amazonaws.com',
       aws_access_key_id='你的访问密钥ID',
       aws_secret_access_key='你的私有访问密钥'
   )
   
   # 生成下载预签名URL（有效期1小时）
   presigned_url = s3_client.generate_presigned_url(
       'get_object',
       Params={'Bucket': 'video-sftp', 'Key': '600.mp4'},
       ExpiresIn=3600
   )
   

   此时生成的URL会自动转换为虚拟主机格式：https://video-sftp.s3.amazonaws.com/600.mp4，符合你的预期。

解决方案二：使用带桶名的端点（不推荐） #

如果一定要保留https://video-sftp.s3.amazonaws.com作为Endpoint，需要调整Bucket参数：
因为这个端点已经直接指向video-sftp桶，生成预签名时无需再指定Bucket参数（或设为空字符串）：

presigned_url = s3_client.generate_presigned_url(
    'get_object',
    Params={'Bucket': '', 'Key': '600.mp4'},
    ExpiresIn=3600
)

这种方式局限性大，无法同时操作多个桶，仅适合单桶场景。

403错误额外排查点 #

如果切换标准端点后仍出现403，检查以下内容：

• 确认预签名URL的操作类型（get_object/put_object）与IAM权限中的Action完全匹配；
• 检查桶的**阻止公开访问（Block Public Access）**设置：即使开启该设置，预签名URL仍可正常访问，但需确保IAM权限覆盖对应资源；
• 更新boto3到最新版本，避免旧版本的签名算法问题：

  pip install --upgrade boto3
  

内容的提问来源于stack exchange，提问作者user892134