Android模拟器访问LocalStack S3预签名URL返回403如何解决

• S3 v4预签名签名校验规则会将生成签名时使用的Host地址、指定的请求头、查询参数全部纳入签名哈希计算，任意一项和实际请求不匹配都会返回403签名错误。你生成预签名URL时使用的endpoint是127.0.0.1:4566，后续手动替换URL中的IP为10.0.2.2:4566发起请求，实际请求的Host头和签名计算时的Host值不一致，是触发报错的核心原因。
• RNFS、RNFetchBlob这类原生网络库发起请求时会自动注入默认请求头（包括默认User-Agent、Accept-Encoding、Connection等），这类自动追加的头没有被纳入预签名的签名计算范围，LocalStack S3模块校验时会直接判定签名无效。
• 浏览器可正常访问是因为部分版本LocalStack对浏览器发起的简单CORS请求默认放宽签名校验规则，且浏览器发起简单请求时不会追加触发校验失败的自定义头，和APP端的请求逻辑存在差异。

按以下顺序排查调整即可解决问题：

1. 生成预签名URL时直接使用模拟器可访问的Endpoint
   不要生成URL后再手动替换IP地址，初始化S3客户端时直接将LocalStack endpoint配置为模拟器可访问的地址，同时强制开启路径风格寻址（LocalStack不支持S3默认的虚拟主机bucket寻址模式），示例配置如下：

   const s3 = new S3Client({
     region: 'us-east-1',
     endpoint: 'http://10.0.2.2:4566',
     forcePathStyle: true, // 必开，否则会出现bucket寻址错误
     credentials: {
       accessKeyId: 'test', // LocalStack默认任意ak/sk均可
       secretAccessKey: 'test'
     }
   })
   

   如果预签名URL由本地后端服务生成，需要调整后端生成逻辑，针对Android模拟器场景直接使用10.0.2.2:4566作为endpoint生成签名，不要返回基于127.0.0.1生成的URL再让端上替换。
2. 禁用网络库的默认头自动注入
   发起下载请求时显式传入空headers配置，禁止库自动追加未纳入签名范围的默认头：
   • 使用RNFS时，downloadFile方法传入空headers参数：

     RNFS.downloadFile({
       fromUrl: presignedUrl,
       toFile: localSavePath,
       headers: {} // 不要省略，避免库自动注入默认头
     })
     

   • 使用RNFetchBlob时，请求配置中不要添加多余头字段，仅配置必要的缓存参数即可。
3. 本地调试阶段可临时关闭签名校验
   启动LocalStack时添加环境变量S3_SKIP_SIGNATURE_VALIDATION=1，可跳过S3模块的所有签名校验逻辑，快速排除签名相关问题干扰，该配置仅用于本地调试，联调真实S3服务时需移除。
4. 补充Android端必要配置
   确认android/app/src/main/AndroidManifest.xml中已添加网络权限，同时允许HTTP明文请求（LocalStack默认是HTTP协议）：

   <!-- 加在manifest根节点下 -->
   <uses-permission android:name="android.permission.INTERNET" />
   <!-- application标签添加cleartext配置 -->
   <application
     android:usesCleartextTraffic="true"
     <!-- 其余原有配置不变 -->
   >
   

内容的提问来源于stack exchange，提问作者gojoGS