AWS S3 Java SDK官方预签名URL示例报SignatureDoesNotMatch错误

核心根因 #

该报错的本质是S3服务端按照SigV4规则计算的请求签名，和你上传请求携带的签名不匹配。完全参照官方示例编写的代码出现该问题，90%以上是以下原因导致：

• 预签名器初始化配置错误
  初始化S3Presigner时未显式指定桶实际所在的Region，依赖默认区域配置导致签名Region和桶实际Region不一致；如果使用STS临时凭证，凭证链未正确加载session token；自定义S3兼容端点时路径风格/虚拟主机风格配置和签名逻辑不匹配，都会触发验签失败。
• 官方示例存在兼容缺陷，上传时头被自动篡改
  签名时在PutObjectRequest中指定contentType("text/plain")，SigV4会将Content-Type的精确值纳入签名计算。但示例代码使用无参OutputStreamWriter上传时，多数JDK的HttpURLConnection实现会自动给Content-Type追加; charset=xxx后缀，导致头值和签名时的text/plain不一致；另外HttpURLConnection默认会自动追加Accept、User-Agent等头，如果这些头被纳入签名范围，也会直接导致验签失败。
• 本地时间偏差过大
  SigV4签名允许的客户端与服务端时间误差最大为15分钟，若运行环境系统时间和AWS标准时间偏差超过该阈值，签名会直接失效。
• 凭证无效或权限不足
  初始化预签名器时加载的AK/SK错误，或者对应身份没有目标桶的s3:PutObject权限——注意权限不足时S3也可能返回签名不匹配的误导性报错，并非只有签名计算错误才会返回该提示。

可落地修复方案 #

按优先级逐一排查处理：

1. 显式配置S3Presigner，避免默认配置偏差
   初始化时强制指定桶所在的正确Region，关闭分块编码，不要依赖默认配置：

   S3Presigner presigner = S3Presigner.builder()
           .region(Region.of("替换为你的桶实际所属区域，例如ap-southeast-1"))
           // 仅使用自建S3兼容存储时配置endpoint，AWS官方S3不要加该行
           // .endpointOverride(URI.create("替换为你的S3兼容端点地址"))
           .serviceConfiguration(S3Configuration.builder()
                   .chunkedEncodingEnabled(false)
                   // 仅使用路径风格访问时开启，虚拟主机风格不要加该行
                   // .pathStyleAccessEnabled(true)
                   .build())
           .build();
   

   如果使用STS临时凭证，确保默认凭证链可以正确读取到awsSessionToken字段，不要手动裁剪凭证参数。
2. 修正上传逻辑，禁止头被自动修改
   替换示例里的字符流上传逻辑，直接写字节流避免Content-Type被自动追加charset，同时关闭HttpURLConnection的自动配置逻辑，避免额外头注入：

   HttpURLConnection connection = (HttpURLConnection) url.openConnection();
   connection.setDoOutput(true);
   connection.setRequestMethod("PUT");
   connection.setRequestProperty("Content-Type","text/plain");
   // 关闭自动重定向、缓存，避免框架自动追加额外头
   connection.setInstanceFollowRedirects(false);
   connection.setUseCaches(false);
   // 直接写字节流，不要用OutputStreamWriter，避免自动篡改Content-Type
   try(OutputStream out = connection.getOutputStream()) {
       out.write("This text was uploaded as an object by using a presigned URL."
               .getBytes(StandardCharsets.UTF_8));
   }
   

   注意：上传时只能传递预签名URL中X-Amz-SignedHeaders参数列出的头，且头的值必须和签名时完全一致，不要额外加自定义头。
3. 校准运行环境时间
   同步本地/服务器系统时间到公共NTP源，确保和AWS标准时间偏差不超过5分钟。
4. 验证凭证有效性
   用当前配置的AK/SK直接调用普通PutObject接口，确认凭证有效、且拥有目标桶的上传权限，排除权限问题导致的误导性报错。
5. 精准定位差异
   如果以上方案都未解决，可以从报错返回的XML响应中取出CanonicalRequest字段，和你实际发出请求的规范串做逐行对比，能直接定位到哪个头/哪个参数和签名时不一致。

内容的提问来源于stack exchange，提问作者daph111