S3重复通知事件处理：删除文件后遇AccessDenied问题求助

问题场景 #

S3事件通知设计为至少投递一次，通常几秒内送达，但偶尔会延迟1分钟以上触发重复通知。为处理重复事件，我采用处理完成后删除文件的策略，但第二次通知触发时调用GetObject并未返回预期的NoSuchKey（404），而是抛出AccessDenied错误：

[ERROR] ClientError: An error occurred (AccessDenied) when calling the GetObject operation: Access Denied
Traceback (most recent call last):
  File "/var/task/lambda_function.py", line 111, in lambda_handler
    raise e
  File "/var/task/lambda_function.py", line 104, in lambda_handler
    response = s3.get_object(Bucket=bucket, Key=key)
  File "/var/runtime/botocore/client.py", line 391, in _api_call
    return self._make_api_call(operation_name, kwargs)
  File "/var/runtime/botocore/client.py", line 719, in _make_api_call
    raise error_class(parsed_response, operation_name)

当前处理逻辑如下：

bucket = event['Records'][0]['s3']['bucket']['name']
key = urllib.parse.unquote_plus(event['Records'][0]['s3']['object']['key'], encoding='utf-8')

logger.info(f'Requesting file from bucket {bucket} with key {key}')

try:
    response = s3.get_object(Bucket=bucket, Key=key)
except ClientError as e:
    error_code = e.response["Error"]["Code"]
    if error_code == 'NoSuchKey':
        logger.info('Object does not exist any more')
        return
    else:
        raise e

需要在不屏蔽AccessDenied错误的前提下，判断文件是否已处理，或是S3通知服务存在异常。

解决方案 #

1. 用HeadObject替代GetObject做轻量验证 #

HeadObject仅返回对象元数据，开销远小于GetObject，且权限要求一致。可以先用它来判断对象状态：

try:
    s3.head_object(Bucket=bucket, Key=key)
except ClientError as e:
    error_code = e.response["Error"]["Code"]
    if error_code == 'NoSuchKey':
        logger.info('Object已被删除，无需重复处理')
        return
    elif error_code == 'AccessDenied':
        # 进一步排查对象是否存在
        pass
    else:
        raise e

2. 区分“已处理删除”和“权限异常” #

如果HeadObject返回AccessDenied，可以通过以下方式确认对象是否存在：

• 检查版本控制状态：如果桶开启了版本控制，删除文件只会添加删除标记，原始对象仍保留。此时需要调用list_object_versions（需s3:ListBucketVersions权限）检查是否存在该Key的版本或删除标记：

  try:
        versions = s3.list_object_versions(Bucket=bucket, Prefix=key)
        if 'DeleteMarkers' in versions or 'Versions' in versions:
            logger.info('对象存在删除标记或历史版本，已处理完成')
            return
        else:
            logger.error('对象不存在但返回AccessDenied，疑似S3通知异常')
            # 可根据需求触发告警或重试逻辑
    except ClientError as e:
        # 无List权限则直接抛出异常，避免屏蔽真实权限问题
        raise e
  

• 桶列表校验：如果未开启版本控制，调用list_objects_v2（需s3:ListBucket权限）检查该Key是否存在：

  try:
        response = s3.list_objects_v2(Bucket=bucket, Prefix=key, MaxKeys=1)
        if not response.get('Contents'):
            logger.info('对象已删除，返回AccessDenied疑似S3延迟')
            return
    except ClientError as e:
        raise e
  

3. 替换“删除文件”的去重方案（更可靠） #

依赖删除文件去重容易受S3状态延迟、版本控制等影响，推荐以下幂等方案：

• DynamoDB记录处理状态：每次处理完成后，将对象的Bucket+Key作为主键写入DynamoDB，Lambda触发时先查询该表：

  # 初始化DynamoDB客户端
  dynamodb = boto3.client('dynamodb')
  
  def is_processed(bucket, key):
      try:
          dynamodb.get_item(
              TableName='s3_processed_records',
              Key={'bucket': {'S': bucket}, 'key': {'S': key}}
          )
          return True
      except dynamodb.exceptions.ResourceNotFoundException:
          return False
  
  # Lambda入口逻辑
  if is_processed(bucket, key):
      logger.info('对象已处理，跳过')
      return
  # 执行处理逻辑...
  # 处理完成后写入DynamoDB
  dynamodb.put_item(
      TableName='s3_processed_records',
      Item={'bucket': {'S': bucket}, 'key': {'S': key}, 'processed_at': {'N': str(time.time())}}
  )
  

• 对象标签标记：处理完成后给对象添加processed=true标签（需s3:PutObjectTagging权限），触发时先获取标签：

  try:
      tags = s3.get_object_tagging(Bucket=bucket, Key=key)
      for tag in tags['TagSet']:
          if tag['Key'] == 'processed' and tag['Value'] == 'true':
              logger.info('对象已标记为处理完成，跳过')
              return
  except ClientError as e:
      error_code = e.response["Error"]["Code"]
      if error_code == 'NoSuchKey':
          return
      else:
          raise e
  # 执行处理逻辑...
  # 添加标签
  s3.put_object_tagging(
      Bucket=bucket,
      Key=key,
      Tagging={'TagSet': [{'Key': 'processed', 'Value': 'true'}]}
  )
  

4. 排查权限异常的核心点 #

如果上述验证后确认对象不存在但仍返回AccessDenied，需要检查：

• Lambda执行角色是否有s3:GetObject、s3:HeadObject的桶级权限，且无桶策略或IAM策略的拒绝规则；
• 桶是否开启了对象锁或加密，导致删除后仍有访问限制；
• 是否存在跨账户访问场景，权限配置存在冲突。

内容的提问来源于stack exchange，提问作者Marek Puchalski