EventBridge规则导致S3文件ACL及ContentType设置失败求助

我有一个Lambda函数负责将文件写入S3，同时配置了EventBridge规则触发另一个Lambda处理该文件。第一个Lambda使用upload_file方法并通过ExtraArgs设置元数据、ContentType和ACL，添加s3:PutObjectAcl权限后上传成功，但元数据生效，ACL和ContentType却未生效。

本地测试（包括扮演Lambda角色执行）一切正常；将文件上传至其他文件夹后，ACL和ContentType恢复正常。推测是针对auto/前缀的EventBridge规则导致问题——修改规则前缀后问题解决，但业务需要保留该规则，因此寻求在不破坏ACL/ContentType设置的前提下恢复规则的方法。

Lambda上传代码 #

extra_args = {
    'Metadata': metadata, # dict[str, str]
    'ContentType': 'video/mp4',
    'ACL': 'public-read',
}

response = s3_client.upload_file(
    Filename=file,
    Bucket=bucket,
    Key=key,
    ExtraArgs=extra_args,
)

S3桶配置（CloudFormation） #

ClipsBucket:
  Type: AWS::S3::Bucket
  Properties:
    BucketName: !Ref ClipsBucketName
    NotificationConfiguration:
      EventBridgeConfiguration:
        EventBridgeEnabled: true

Lambda执行角色权限（CloudFormation） #

LambdaExecutionRole:
  Type: AWS::IAM::Role
  Properties:
    [...]
    Policies:
      [...]
      - PolicyName: allowS3
        PolicyDocument:
          Version: "2012-10-17"
          Statement:
            - Effect: Allow
              Action:
                - s3:PutObject
                - s3:PutObjectAcl
              Resource:
                - !Sub arn:aws:s3:::${ClipsBucketName}/*

EventBridge规则配置 #

{
  "detail-type": ["Object Created"],
  "source": ["aws.s3"],
  "detail": {
    "bucket": {
      "name": ["bucket-name"]
    },
    "object": {
      "key": [{
        "prefix": "auto/"
      }]
    }
  }
}

• 替换upload_file为S3资源方法、put_object等其他上传方式
• 先上传文件不设置ACL，之后单独调用API设置ACL
• 将EventBridge规则的detail-type改为Object ACL Updated

1. 为什么EventBridge规则会导致ACL/ContentType未生效却无任何报错？
2. 为什么本地测试（包括写入带EventBridge规则的文件夹）一切正常？
3. 缺少有效的调试手段定位问题根因。

1. 排查第二个Lambda的操作逻辑：EventBridge触发的第二个Lambda可能在处理文件时，调用了put_object、copy_object或put_object_acl等API，意外覆盖了原有的ACL和ContentType。检查该Lambda的代码，确认是否有修改对象属性的操作。
2. 启用S3对象操作追踪：
   • 开启S3桶的服务器访问日志，查看针对auto/前缀对象的所有请求记录，确认是否存在后续修改操作
   • 通过CloudTrail追踪S3相关API调用，筛选目标对象的PutObject、PutObjectAcl、CopyObject等操作，定位触发时间和执行角色
3. 缩小EventBridge规则的触发范围：将detail-type从Object Created更改为更具体的s3:ObjectCreated:Put或s3:ObjectCreated:CompleteMultipartUpload，避免分片上传过程中触发中间事件导致提前处理
4. 添加对象版本控制：给S3桶启用版本控制，查看对象的版本历史，确认是否有后续版本覆盖了初始的ACL和ContentType设置
5. 调整Lambda执行顺序：在第一个Lambda上传完成后，添加延迟或确认逻辑，确保对象属性完全设置后再让EventBridge触发第二个Lambda（比如通过自定义事件而非S3原生事件触发）

内容的提问来源于stack exchange，提问作者ben_nuttall