Node.js使用AWS SDK从S3下载图片时新建S3实例生成签名URL失效

故障原因 #

• 核心原因是AWS SDK for JavaScript v2的同步getSignedUrl方法不会等待客户端凭证加载完成：你使用的IAM角色的临时凭证是SDK后台异步拉取的，构造函数初始化的单例S3实例有充足的时间完成凭证拉取，所以调用时可以正常生成签名URL。
• 每次调用方法时新建S3实例，相当于每次都重新触发异步凭证拉取流程，此时同步调用getSignedUrl时凭证还未就绪，SDK不会抛出错误，而是直接生成不带签名参数、只有区域根路径的无效URL，即你看到的统一地址。
• 额外隐患：当前getS3Client方法直接修改全局AWS.config，多实例初始化时可能存在配置竞争的潜在问题。

解决方案 #

方案1（推荐）：复用单例S3客户端 #

这是AWS官方推荐的最佳实践，S3客户端本身是线程安全的，复用实例既可以避免上述异步凭证问题，还能减少不必要的资源开销和凭证请求次数，直接保留你原本构造函数初始化单例的写法即可：

export class MediaServiceImpl implements MediaService {
  private s3: AWS.S3;

  constructor() {
    this.s3 = this.getS3Client();
  }
  private getS3Client(): AWS.S3 {
    AWS.config.region = config.s3Config.region;
    return new AWS.S3();
  }

  getReadSignedUrl(key: string, bucket_name: string): string {
    return this.s3.getSignedUrl('getObject', {
      Bucket: bucket_name,
      Key: key,
      Expires: EXPIRED_TIME
    });
  }
}

方案2：必须新建实例的场景使用异步签名方法 #

如果你的业务场景必须每次新建S3实例，改用异步的getSignedUrlPromise方法，等待凭证加载完成后再生成签名URL，同时优化S3客户端初始化逻辑，避免修改全局配置：

private getS3Client(): AWS.S3 {
  // 直接传入实例配置，避免修改全局配置造成污染
  return new AWS.S3({
    region: config.s3Config.region
  });
}

async getReadSignedUrl(key: string, bucket_name: string): Promise<string> {
  const s3 = this.getS3Client();
  // 异步方法会自动等待凭证加载完成后再生成签名URL
  return s3.getSignedUrlPromise('getObject', {
    Bucket: bucket_name,
    Key: key,
    Expires: EXPIRED_TIME
  });
}

内容的提问来源于stack exchange，提问作者Thuan Nguyen