使用boto3生成新S3桶预签名URL时出现签名不匹配错误

针对你遇到的签名不匹配错误，结合旧桶正常、新桶/副本出错的现象，可按以下步骤排查解决：

1. 强制使用V4签名版本 #

新创建的S3桶默认仅支持签名版本4（SigV4），部分旧版boto3可能在特定区域自动降级为SigV2，导致签名不兼容。修改客户端初始化代码，强制指定SigV4：

import boto3

bucket_name = "xxx"
object_name = "xxx"
iam_access_id = "xxx"
iam_secret_key = "xxx"

# 添加config参数强制SigV4签名
s3_client = boto3.client(
    "s3", 
    aws_access_key_id=iam_access_id, 
    aws_secret_access_key=iam_secret_key, 
    region_name="eu-west-2",
    config=boto3.session.Config(signature_version='s3v4')
)

p_url = s3_client.generate_presigned_url(
    ClientMethod="get_object",
    Params={"Bucket": bucket_name, "Key": object_name},
    ExpiresIn=1800,
)

2. 验证桶与客户端的区域一致性 #

新桶的实际区域可能与代码中指定的region_name不符，导致签名计算错误：

• 用CLI查询桶的真实区域：

  aws s3api get-bucket-location --bucket <你的新桶名>
  

• 若返回None，说明桶在us-east-1区域，需将代码中的region_name改为us-east-1；其他情况直接匹配返回的区域值。

3. 检查对象名的特殊字符编码 #

若新桶/副本的对象名包含空格、中文、特殊符号（如%、&），需确保代码中传入的object_name为原始字符串，不要手动转义。CLI会自动处理编码，而boto3需直接使用未编码的原始名称。

4. 确认凭证完全一致 #

虽然你确认凭证正确，但需验证CLI与代码使用的是同一套凭证：

• 执行CLI命令查看当前活跃凭证：

  aws configure list
  

• 对比输出的aws_access_key_id与代码中硬编码的值，确保完全一致。

内容的提问来源于stack exchange，提问作者Andy