如何签名带查询字符串的API Gateway URL？IAM授权403错误排查

你遇到的403错误核心原因是签名生成时的请求参数与实际发送的请求参数不匹配。SignatureV4签名会将查询字符串纳入签名计算范围，你的代码存在两个关键问题：

1. 签名用的HttpRequest对象仅传入了query属性，但实际签名计算时未确保查询参数被正确整合到签名逻辑中；
2. 实际发起fetch请求时手动拼接了查询字符串，但签名时的path仅为/dev/pets，未包含查询参数，导致签名计算的请求内容和实际发送的请求内容不一致，IAM授权验证失败。

核心思路 #

确保签名计算时的请求路径/参数，与实际发送的请求完全一致，包括查询参数的编码和顺序。

修正代码示例（方式一：手动拼接带查询参数的路径） #

const region = 'xxx'
const method = 'GET'
const protocol = 'https:'
const host = `xxx.execute-api.${region}.amazonaws.com`
const path = '/dev/pets'
const query = {
  type: 1,
}

// 将查询对象转为标准编码的查询字符串
const queryString = new URLSearchParams(query).toString();
// 拼接带查询参数的完整路径
const fullPath = queryString ? `${path}?${queryString}` : path;

const request = new HttpRequest({
  method: method,
  protocol: protocol,
  hostname: host,
  path: fullPath, // 使用带查询参数的路径参与签名
  headers: {
    'Content-Type': 'application/json',
    host: host,
  },
})

const signer = new SignatureV4({
  credentials: AWS.config.credentials,
  service: 'execute-api',
  region: region,
  sha256: Sha256,
})
const { headers } = await signer.sign(request)

// 实际请求使用和签名时完全一致的路径
const response = await fetch(`${protocol}//${host}${fullPath}`, {
  headers,
  method
}).then((res) => res.json())

修正代码示例（方式二：利用签名后的完整请求URL） #

部分AWS SDK会在签名后返回包含完整参数的请求对象，可直接使用该对象发起请求：

const region = 'xxx'
const method = 'GET'
const protocol = 'https:'
const host = `xxx.execute-api.${region}.amazonaws.com`
const path = '/dev/pets'
const query = {
  type: 1,
}

const request = new HttpRequest({
  method: method,
  protocol: protocol,
  hostname: host,
  path: path,
  query: query,
  headers: {
    'Content-Type': 'application/json',
    host: host,
  },
})

const signer = new SignatureV4({
  credentials: AWS.config.credentials,
  service: 'execute-api',
  region: region,
  sha256: Sha256,
})
// 获取签名后的完整请求对象，包含正确编码的URL和headers
const signedRequest = await signer.sign(request);

// 直接使用签名后的URL发起请求，确保参数完全匹配
const response = await fetch(signedRequest.url, {
  headers: signedRequest.headers,
  method: signedRequest.method
}).then((res) => res.json())

关键注意事项 #

• SignatureV4签名会验证请求的所有关键部分：HTTP方法、路径、查询字符串、headers、请求体等，任何细节不匹配都会返回403；
• 查询参数必须使用标准编码（如URLSearchParams生成的字符串），避免手动拼接时出现编码差异；
• Postman能成功是因为它自动将查询参数纳入签名计算，保证了签名与实际请求的一致性。

内容的提问来源于stack exchange，提问作者user10986113