CloudFront签名Cookie返回MalformedSignature问题求助

问题概述 #

我尝试用CloudFront签名Cookie保护单页应用（SPA），浏览器已设置好Cookie，但访问页面时一直提示MalformedSignature。确认公钥和私钥无误，因为能正常生成签名URL。

生成Cookie的代码 #

const cloudFront = new AWS.CloudFront.Signer('KEY_ID_HERE', PRIVATE_KEY);

const expTime = Math.floor((new Date()).getTime() / 1000) + (60 * 60 * 1);

const policy = JSON.stringify({
    "Statement": [
        {
            "Resource": "https://app.domain.click/*",
            "Condition": {
                "DateLessThan": {
                    "AWS:EpochTime": expTime// 当前UTC时间+秒数，(60 * 60 * 1 = 1小时)
                }
            }
        }
    ]
});

const cookie = cloudFront.getSignedCookie({
    policy: policy
});

其他异常现象 #

用获取到的Cookie值作为Policy、Signature和Key-Pair-Id查询参数加载index.html时，仅能成功加载index.html文件，无法加载其中关联的脚本，示例URL：
https://app.domain.click/index.html?Policy=policy_here&Signature=Signature_here&Key-Pair-Id=key_pair_id_here

CloudFront分发行为设置截图 #

问题解决方案 #

1. 解决MalformedSignature错误 #

• 移除JSON policy中的注释：JSON语法不允许注释，你代码里expTime行末尾的注释会导致policy格式无效，CloudFront解析时直接抛出签名格式错误。删除注释后重新生成policy。
• 改用SDK自动生成policy：避免手动构造JSON的语法失误，直接传入URL和过期时间参数让SDK自动生成合规的policy：

  const cookie = cloudFront.getSignedCookie({
    url: 'https://app.domain.click/*',
    expires: expTime
  });
  

• 验证Cookie完整性：生成Cookie后，对比浏览器请求中实际携带的CloudFront-Policy、CloudFront-Signature、CloudFront-Key-Pair-Id值与SDK输出是否完全一致，避免设置Cookie时出现截断、转义错误。
• 核对密钥配置：确认CloudFront分发关联的密钥对ID和代码中的KEY_ID_HERE完全匹配，且对应公钥已正确上传到CloudFront密钥存储并处于启用状态。

2. 解决签名URL仅能加载index.html的问题 #

• 理解签名URL的局限性：签名URL仅对当前请求的URL生效，页面中的脚本、样式等资源请求未携带签名参数，因此被CloudFront拦截。SPA场景下，签名Cookie是更适配的方案——Cookie会自动随所有同域名请求发送，覆盖所有资源。
• 检查CloudFront行为配置：
  • 确保行为的路径模式为/*，让所有资源请求都触发签名验证。
  • 「限制查看器访问」设置为「是」，并选择「签名Cookie」作为验证方式。
  • 缓存策略中需包含CloudFront-Policy、CloudFront-Signature、CloudFront-Key-Pair-Id这三个Cookie，避免缓存系统忽略签名信息导致验证失败。

内容的提问来源于stack exchange，提问作者justanotherguy