Amazon S3 copyObject经Ajax+PHP(CI3)调用报403匿名访问错误

根因定位 #

• 核心触发点1：路径携带隐藏换行符
  报错请求URL末尾的%0A是换行符的URL转义结果，说明从数据库读取的attachment_url字段末尾夹带了不可见的换行/空白字符。一方面会导致S3匹配不到源对象，另一方面会让AWS V4请求签名的计算值和实际请求值不匹配，签名校验失败后服务端会直接判定为匿名请求，返回对应报错。
• 核心触发点2：Web环境凭证加载失效
  直接运行PHP脚本走的是CLI命令行模式，AWS SDK会自动读取当前登录用户家目录下的.aws/credentials文件、系统环境变量里的密钥信息，所以认证正常。
  但Ajax请求走的是Web运行环境（php-fpm/FastCGI），运行用户通常是www-data、nginx这类低权限用户，没有权限读取CLI用户目录下的凭证配置，若getAwsCred()方法没有显式返回有效密钥配置，S3客户端初始化时拿不到身份凭证，就会自动以匿名用户身份发起请求。
• 代码逻辑隐患
  • 源路径拼接逻辑有漏洞：手动按斜杠拆分路径取第二段作为源目录，只要源文件路径层级超过2层就会拼错CopySource地址
  • 输出逻辑不规范：工具方法内直接echo JSON后没有终止流程，外层控制器如果后续有其他输出，会导致返回格式破损
  • 桶策略配置冗余：当前策略仅授权根用户且开放所有操作权限，生产环境存在安全风险

修复步骤 #

1. 显式配置S3客户端凭证，不依赖SDK自动探测
   不要依赖SDK的自动凭证加载逻辑，在Web环境下显式传入和桶匹配的配置，确保凭证正确：

   $credentials = [
       'version' => 'latest',
       'region'  => 'ap-southeast-1', // 和你的桶所在区域严格一致
       'credentials' => [
           'key'    => '你的IAM AccessKey',
           'secret' => '你的IAM SecretKey',
       ]
   ];
   $s3Client = new Aws\S3\S3Client($credentials);
   

   注意不要把AK/SK硬编码在代码里，可以放在Codeigniter的配置文件中，确保Web运行用户有配置文件的读取权限。

2. 清理路径非法字符，修正路径拼接逻辑
   拿到文件路径后先过滤首尾空白、换行字符，同时修正源对象Key的拼接逻辑，避免路径错误：

   $tar_file = trim($tar_file); // 去掉首尾换行、空格、制表符等不可见字符
   $sourceKey = ltrim(parse_url($tar_file, PHP_URL_PATH), '/'); // 直接取完整路径作为源Key
   $params = [
       'Bucket'       => $s3_name,
       'CopySource'   => $s3_name . '/' . $sourceKey,
       'Key'          => $folder . '/' . basename($tar_file),
       'CacheControl' => 'max-age=3600',
       'ACL'          => 'public-read'
   ];
   

3. 规范输出逻辑
   工具方法不要直接输出结果，把复制结果返回给外层控制器统一做响应处理；如果要在工具方法内输出，执行完echo后加exit;终止流程，避免后续代码产生额外输出破坏JSON格式。

4. 优化桶策略权限
   缩窄权限范围，仅开放实际需要的操作权限，同时配置正确的资源范围：

   {
       "Version": "2012-10-17",
       "Id": "xxx",
       "Statement": [
           {
               "Sid": "xxx",
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::xxx:root"
               },
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::bucket",
                   "arn:aws:s3:::bucket/*"
               ]
           }
       ]
   }
   

验证方法 #

• 先不通过Ajax，直接在浏览器访问对应接口地址，打印$credentials确认凭证加载正确，打印拼接后的CopySource和Key确认没有多余特殊字符、路径正确
• 确认接口返回成功后，再通过Ajax发起请求即可正常完成复制操作

内容的提问来源于stack exchange，提问作者A human being