AWS SDK签名URL在Heroku生产环境失效，开发环境正常求解决

1. 升级签名版本到v4（核心修复点） #

你代码里使用的signatureVersion: "v2"已被AWS废弃，多数新区域完全不支持v2签名，这是生产环境失效的最可能原因。

修改S3初始化代码：

const s3 = new S3({
    region: process.env.AWS_BUCKET_REGION,
    accessKeyId: process.env.AWS_ACCESS_KEY,
    secretAccessKey: process.env.AWS_SECRET_KEY,
    signatureVersion: "v4", // 替换为v4版本
});

2. 验证Heroku环境变量配置 #

• 登录Heroku控制台进入你的应用，在Settings->Config Vars中确认AWS_BUCKET_REGION、AWS_ACCESS_KEY、AWS_SECRET_KEY、AWS_BUCKET_NAME这几个变量和开发环境完全一致，无拼写错误或遗漏。
• 也可通过命令行执行heroku config直接查看所有环境变量，确保配置准确。

3. 配置S3桶的CORS策略 #

Next.js生产环境域名需要被S3允许跨域访问，否则签名URL会因CORS报错。

在S3控制台找到目标桶，进入Permissions->Cross-origin resource sharing (CORS)，设置如下策略（替换为你的客户端域名）：

[
    {
        "AllowedHeaders": ["*"],
        "AllowedMethods": ["GET", "PUT"],
        "AllowedOrigins": ["https://your-nextjs-production-domain.com"],
        "ExposeHeaders": []
    }
]

若需兼容本地开发，可额外添加http://localhost:3000到AllowedOrigins。

4. 确认AWS IAM权限 #

确保你使用的AWS密钥对应的IAM用户拥有足够权限：

• 必须包含s3:GetObject（下载签名URL）和s3:PutObject（上传签名URL）权限
• 示例权限策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::your-bucket-name/*"
        }
    ]
}

5. 检查服务器时间同步 #

签名URL的有效性依赖服务器与AWS时间同步，若Heroku服务器时间偏差超过15分钟，签名会直接失效。

• 执行heroku run date命令查看服务器时间，确认与本地时间无明显偏差（Heroku服务器一般自动同步，但仍需验证）。

6. 修复Key路径编码问题 #

若客户端传递的key包含特殊字符（如空格、中文），需确保编码正确。可在服务器端的签名函数中对key进行URL编码：

function generatePreSignedPutUrl({ key, operation }) {
    // 对key编码，避免特殊字符导致签名错误
    const encodedKey = encodeURIComponent(key);
    var params = { Bucket: process.env.AWS_BUCKET_NAME, Key: encodedKey, Expires: 60 };
    let x = s3.getSignedUrl(operation, params);
    return x;
}

同时确保客户端传递key时无重复编码问题。

7. 调试日志排查 #

通过heroku logs --tail命令实时查看服务器日志：

• 检查generatePreSignedPutUrl输出的URL格式是否正确
• 查看AWS返回的具体错误信息（如权限不足、签名无效等），定位问题根源

内容的提问来源于stack exchange，提问作者Samuel Schmitt