Nginx如何重写URL将&amp替换为&适配MinIO S3签名校验

完全可以通过Nginx原生能力实现该URL修正逻辑，无需加载第三方模块，客户端全程无感知。

实现原理 #

你遇到的签名校验失败问题，本质是Nginx透传的原始请求Query String中，参数分隔符被错误替换为了字面量&，不符合S3签名要求的&分隔规则。我们只需要在Nginx转发请求到MinIO之前，将Query String中所有的&替换为&，再将修正后的请求转发给后端即可。

注：你推测的「浏览器自动转义」不成立，该问题的根因是业务代码生成链接时做了重复HTML实体转义：正常在HTML属性中输出URL时，仅需将&转义为&，浏览器解析HTML时会自动解码为&再发起请求；如果代码执行了两次转义，就会把&最终转成&，浏览器单次解码后会将&作为URL字面量发起请求。建议后续排查前端模板渲染、后端返回下载链接的转义逻辑从根源修复，Nginx规则仅作为临时兼容方案。

配置修改方式 #

将以下规则添加到你现有location /配置块的最靠前位置即可：

# 循环替换Query String中的&amp为&，直到无匹配项
if ($request_uri ~* "^([^?]*)\?(.*)&(.*)$") {
    rewrite ^/(.*)$ /$1?$2&$3? last;
}

规则说明 #

• 该规则直接读取Nginx收到的原始请求URI$request_uri做匹配，不会受Nginx自身参数解析逻辑的干扰（当分隔符为&时，Nginx默认的$args变量无法正确拆分参数）
• 每次匹配仅替换一个&，通过last指令重新进入Location块循环匹配，直到Query String中不存在&为止，不会出现死循环
• rewrite规则末尾的?用于丢弃原始错误的Query String，仅传递替换后的正确参数，避免参数重复
• 未匹配到&的正常请求不会进入该规则，直接走原有代理逻辑，无额外性能损耗
• 整个替换过程在Nginx内部完成，不会返回3xx跳转给客户端，不会增加额外请求耗时，也不会暴露签名参数

修改后的完整配置参考 #

location / {
    # 新增URL修正规则
    if ($request_uri ~* "^([^?]*)\?(.*)&(.*)$") {
        rewrite ^/(.*)$ /$1?$2&$3? last;
    }

    auth_jwt_enabled off;
    limit_req zone=s3 burst=100 nodelay;
    proxy_buffer_size 256k;
    proxy_buffers 4 512k;
    proxy_busy_buffers_size 512k;
    proxy_cache_convert_head off;
    proxy_connect_timeout 180;
    proxy_hide_header Set-Cookie;
    proxy_hide_header x-amz-id-2;
    proxy_hide_header x-amz-request-id;
    proxy_http_version 1.1;
    proxy_ignore_headers Set-Cookie;
    proxy_pass http://127.0.0.1:7777;
    proxy_read_timeout 86400;
    proxy_send_timeout 86400;
    proxy_set_header Authorization $http_authorization;
    proxy_set_header Connection "";
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Connection keep-alive;
    add_header Content-disposition "attachment; filename=$1";
    default_type application/octet-stream;
}

生效操作 #

配置修改完成后，先执行以下命令校验配置合法性：

nginx -t

校验通过后执行重载命令使规则生效：

nginx -s reload

内容的提问来源于stack exchange，提问作者user16837137