使用aws-sdk v3生成S3签名URL时设置ContentDisposition报403如何解决

你遇到的403错误核心是AWS V4签名校验要求：生成签名时包含的所有请求参数/头，必须和实际上传请求传递的参数/头完全一致，同时需要满足CORS、IAM权限的配套配置，具体解决方案如下：

1. 前端上传请求同步添加对应头 #

你在服务端生成签名时给PutObjectCommand配置了ContentDisposition:'attachment'参数，该参数会被纳入签名计算逻辑。前端使用该签名URL发起PUT上传时，必须主动携带Content-Disposition: attachment请求头，否则签名校验不通过直接返回403。

2. 调整S3存储桶CORS配置 #

浏览器端上传需要存储桶CORS规则允许Content-Disposition头传递，否则浏览器会自动拦截该头，最终还是会导致签名校验失败。示例CORS配置参考：

[
  {
    "AllowedOrigins": ["你的前端业务域名"],
    "AllowedMethods": ["PUT"],
    "AllowedHeaders": ["Content-Type", "Content-Disposition"],
    "ExposeHeaders": []
  }
]

3. 确认IAM权限配置 #

确认生成签名URL所用的AWS身份（IAM用户/角色）的权限策略中，开放了s3:PutObject权限且没有针对ContentDisposition的限制条件，示例有效权限配置：

{
  "Effect": "Allow",
  "Action": "s3:PutObject",
  "Resource": "arn:aws:s3:::你的存储桶名/*"
}

完成上述配置后即可正常携带ContentDisposition参数生成签名URL上传，用户访问文件时会自动触发下载弹窗。

内容的提问来源于stack exchange，提问作者xunux