GCP签名URL上传报MalformedSecurityHeader(Content-Type)错误排查

这个报错的核心是GCP V4签名URL的校验逻辑和浏览器跨域预检机制冲突，你看到的CORS报错是表象，Content-Type头不存在的提示也不是代码里真的没传这个头：

• 你生成签名URL时显式指定了ContentType: "video/wav"，GCP会把content-type纳入签名校验的头列表，要求所有到达的请求必须携带完全匹配的该头，否则直接返回403。
• 浏览器在发起跨域PUT请求、且手动设置Content-Type时，会自动先发一个OPTIONS方法的预检请求，这个预检请求不会携带你业务代码里设置的Content-Type头。GCP收到这个OPTIONS请求后直接触发签名校验失败，返回MalformedSecurityHeader错误，根本不会执行CORS逻辑返回Access-Control-Allow-Origin头，所以浏览器侧就表现为CORS跨域拦截。
• 你代码里还有个隐藏问题：WAV音频的标准MIME类型是audio/wav，你写的video/wav本身就是错的，就算绕过预检，正式请求只要Content-Type不匹配也会签名校验失败；另外你前端取的是file.type，如果用户上传的文件MIME和你后端硬编码的值不一致，同样会报错。

1. 调整后端签名配置 #

如果你不需要强制限制上传文件的MIME类型，直接删掉签名配置里的ContentType字段即可，这样签名不会把content-type纳入强制校验头，OPTIONS预检请求可以正常通过，GCP会正常返回CORS头。

opts := &storage.SignedURLOptions{
    PrivateKey:  pkey,
    Scheme:      storage.SigningSchemeV4,
    Method:      "PUT",
    // 移除硬编码的ContentType配置
    Expires:     time.Now().Add(20 * time.Hour),
}

如果需要限制上传类型，就把ContentType的值改成正确的MIME类型，并且保证前端上传时传的Content-Type和这个值字节级完全一致，不能有任何偏差。

2. 简化前端上传代码 #

你现在用FileReader读ArrayBuffer再转Blob的逻辑完全冗余，File对象本身就是Blob的子类，可以直接上传，能省掉不必要的内存开销：

const request = new XMLHttpRequest();
request.open("PUT", uploadUrl, true);
request.setRequestHeader("Content-Type", file.type);
request.onload = () => {
  if (request.status === 200) {
    poll();
  }
};
// 直接传File对象即可，不需要额外转换
request.send(file);

3. 确认CORS配置 #

你当前存储桶的CORS配置允许所有来源、方法、响应头，本身是符合要求的，改完前两步后就不会再出现跨域报错。

补充排查点：如果修改后依然报签名相关错误，先检查生成签名的服务器时间和标准时间差是否超过15分钟，V4签名对时间偏差容忍度极低，时间差过大也会导致校验失败。

内容的提问来源于stack exchange，提问作者Miguel Pinheiro