使用aws-sdk-go-v2无凭证调用PutObject遇403 AccessDenied问题求助

在预发布（Staging）环境中，Docker容器可无凭证访问私有S3桶，但使用aws-sdk-go-v2的PutObject接口上传文件时持续收到403 AccessDenied错误。上传代码如下：

var uploadFileFunc = func(s3Details S3Details, key string, payload []byte, params MetadataParams) (*s3.PutObjectOutput, error) {
    client := getS3Client(s3Details)

    return client.PutObject(context.TODO(), &s3.PutObjectInput{
        Bucket:      aws.String(s3Details.Bucket),
        Key:         aws.String(key),
        Body:        bytes.NewReader(payload),
        ContentType: aws.String("text/xml"),
    })
}

func getS3Client(s3Details S3Details) *s3.Client {
    endpointResolver := aws.EndpointResolverWithOptionsFunc(func(service, region string, options ...interface{}) (aws.Endpoint, error) {
        if s3Details.EndpointUrl != "" {
            return aws.Endpoint{
                PartitionID:   "aws",
                URL:           s3Details.EndpointUrl,
                SigningRegion: s3Details.Region,
                SigningMethod: s3Details.SignatureVersion,
            }, nil
        }
        return aws.Endpoint{}, &aws.EndpointNotFoundError{}
    })

    cfg, _ := config.LoadDefaultConfig(context.TODO(),
        config.WithEndpointDiscovery(aws.EndpointDiscoveryEnabled),
        config.WithEndpointResolverWithOptions(endpointResolver))

    return s3.NewFromConfig(cfg, func(o *s3.Options) {
        o.Region = s3Details.Region
        o.Credentials = aws.AnonymousCredentials{}
        o.UsePathStyle = true
    })
}

使用aws.AnonymousCredentials{}仅适用于未签名请求；传入空密钥到NewStaticCredentialsProvider会触发StaticCredentialsEmptyError，传入虚拟密钥则提示凭证无效。推测这是403错误的原因，请问如何在Go SDK中无需提供凭证就能签名请求？该场景在boto3 Python库中可正常工作。

1. 移除手动设置的匿名凭证，让SDK自动加载环境凭证 #

boto3能正常工作的核心原因是它默认会自动从运行环境中加载凭证（比如ECS/EKS任务角色、实例元数据服务、环境变量等），而你在Go代码中手动设置了o.Credentials = aws.AnonymousCredentials{}，直接禁用了SDK的自动凭证获取逻辑，导致请求没有携带有效签名，触发403错误。

修改getS3Client函数，移除手动设置的匿名凭证配置：

func getS3Client(s3Details S3Details) *s3.Client {
    endpointResolver := aws.EndpointResolverWithOptionsFunc(func(service, region string, options ...interface{}) (aws.Endpoint, error) {
        if s3Details.EndpointUrl != "" {
            return aws.Endpoint{
                PartitionID:   "aws",
                URL:           s3Details.EndpointUrl,
                SigningRegion: s3Details.Region,
                SigningMethod: s3Details.SignatureVersion,
            }, nil
        }
        return aws.Endpoint{}, &aws.EndpointNotFoundError{}
    })

    cfg, err := config.LoadDefaultConfig(context.TODO(),
        config.WithEndpointDiscovery(aws.EndpointDiscoveryEnabled),
        config.WithEndpointResolverWithOptions(endpointResolver),
        config.WithRegion(s3Details.Region)) // 直接在config中指定Region，避免重复设置

    if err != nil {
        panic(err) // 实际代码中建议优雅处理错误
    }

    return s3.NewFromConfig(cfg, func(o *s3.Options) {
        o.UsePathStyle = true
        // 移除 o.Credentials = aws.AnonymousCredentials{} 这一行
    })
}

修改后，SDK会自动按照以下优先级加载凭证：

• 环境变量（AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY）
• 共享凭证文件（~/.aws/credentials）
• IAM角色（如果容器运行在ECS/EKS/EC2等AWS服务中，会自动从元数据服务获取临时凭证）

这与boto3的默认凭证加载逻辑一致，即可和Python端行为保持统一。

2. 若确实需要无凭证签名（针对兼容S3的私有存储） #

如果你的预发布环境使用的是兼容S3的私有存储，允许使用空凭证进行签名（该场景非常少见），可以自定义一个CredentialsProvider，返回空密钥对并跳过空值校验：

type emptyCredentialsProvider struct{}

func (e emptyCredentialsProvider) Retrieve(ctx context.Context) (aws.Credentials, error) {
    return aws.Credentials{
        AccessKeyID:     "",
        SecretAccessKey: "",
        SessionToken:    "",
        Source:          "empty-credentials-provider",
    }, nil
}

func (e emptyCredentialsProvider) IsExpired() bool {
    return false
}

然后在创建S3客户端时使用这个自定义Provider：

return s3.NewFromConfig(cfg, func(o *s3.Options) {
    o.Region = s3Details.Region
    o.Credentials = emptyCredentialsProvider{}
    o.UsePathStyle = true
})

注意：AWS原生S3不允许空凭证签名，因此优先推荐第一种方案。

内容的提问来源于stack exchange，提问作者MeanwhileInHell