Boto3读取含时间戳的S3文件元数据返回AccessDenied如何解决？

核心原因 #

S3 对象键虽然支持冒号等特殊字符，但包含特殊字符的键直接传递时容易出现转义不匹配的问题，部分场景下也会因为 IAM 策略的前缀匹配规则触发误拦截，就会出现非权限配置错误但报 AccessDenied 的情况。

可落地的解决方案 #

1. 先修正代码笔误 #

你提供的代码中存在一处不必要的错误：已经初始化了aws_s3_client = boto3.client("s3")，函数内部不需要再加括号调用实例，虽然你删除时间戳后可以正常运行，大概率是贴代码时的手误，建议先修正。

2. 使用 URL 编码处理特殊字符+轻量元数据接口 #

不需要修改原文件名，只需要对 key 做 URL 编码适配 S3 的特殊字符处理规则即可，同时推荐使用head_object接口获取元数据，不需要下载整个对象内容，效率更高。
修改后的可运行代码如下：

import boto3
from urllib.parse import quote

key = "myfile_20401__2021-03-04_16:33:12.597"
aws_s3_client = boto3.client("s3")
bucket = "my_bucket_name"

def get_s3_metadata(key):
    # 对包含特殊字符的key做URL编码，safe参数设为空表示所有特殊字符都编码
    encoded_key = quote(key, safe='')
    s3_response = aws_s3_client.head_object(Bucket=bucket, Key=encoded_key)
    metadata = s3_response.get("Metadata")
    return metadata

print(get_s3_metadata(key))

3. IAM 策略适配方案 #

如果上述编码后还是报错，大概率是你的 IAM 权限策略的资源前缀匹配规则没有兼容特殊字符：

• 可以先拿 AWS CLI 做验证，运行命令 aws s3api head-object --bucket my_bucket_name --key "myfile_20401__2021-03-04_16:33:12.597"，如果 CLI 也报错，直接修改 IAM 策略中对应 S3 资源的匹配规则，把 key 中的冒号转义为%3A或者放宽匹配范围即可。
• 如果 CLI 可以正常返回，先调用list_objects_v2接口匹配前缀为myfile_20401__的对象，确认 S3 中存储的 key 字符串和你本地写的完全一致，避免有不可见字符、大小写不匹配的问题。

内容的提问来源于stack exchange，提问作者adhi hari