Nginx中proxy_pass使用set定义变量触发AWS S3 403错误是什么原因？

核心错误点1：proxy_pass带变量时的路径拼接逻辑变化 #

• Nginx硬编码proxy_pass域名时，会自动执行路径替换：当location /static/匹配到请求后，会将匹配到的前缀/static/替换为proxy_pass指定的/static/路径，最终请求S3的路径和预期一致。
• 当proxy_pass中包含变量（你这里的$bucket）时，Nginx会关闭自动路径替换逻辑，直接使用proxy_pass拼接完整请求URI，最终你实际请求S3的路径会变成https://<bucket_name>.s3.ap-northeast-2.amazonaws.com/static//static/xxx，路径重复导致S3找不到对应资源返回403。

核心错误点2：缺少resolver域名解析配置 #

• 当proxy_pass使用变量作为域名时，Nginx不会使用启动阶段的静态域名解析结果，需要你显式通过resolver指令指定DNS服务器，否则会出现域名解析失败的异常。AWS环境下可以直接用VPC默认DNS169.254.169.253，或者公共DNS如8.8.8.8。

核心错误点3：缺少SSL SNI配置 #

• S3的虚拟主机式访问依赖TLS SNI扩展识别桶域名，当proxy_pass使用变量域名时，Nginx默认不会在SSL握手时发送SNI信息，导致AWS无法识别你要访问的桶，直接返回403拒绝访问。

修正后的配置参考 #

server {
  # 显式指定DNS解析服务器，可根据实际环境替换
  resolver 169.254.169.253 valid=300s;
  resolver_timeout 5s;
  set $bucket "<bucket_name>.s3.ap-northeast-2.amazonaws.com";

  location /static/ {
    proxy_set_header Host $bucket;
    # 开启SSL SNI支持
    proxy_ssl_server_name on;
    # 手动构造正确的代理路径，保留原始请求路径和查询参数
    proxy_pass https://$bucket$uri$is_args$args;
  }
}

如果想要保留原来的路径替换逻辑，也可以通过rewrite手动处理：

location /static/ {
  rewrite ^/static/(.*)$ /static/$1 break;
  proxy_set_header Host $bucket;
  proxy_ssl_server_name on;
  proxy_pass https://$bucket;
}

内容的提问来源于stack exchange，提问作者Sammy Kim