Rails 6使用s3_direct_upload上传Amazon S3报POST 403 (Forbidden)错误

问题根因与修复方案 #

你遇到的403错误是Rails 6升级后与旧版S3直接上传组件的兼容性问题导致，以下是可直接落地的修复方案，无需大范围重构：

优先推荐修复方案（保留现有组件完全不变）

• CSRF 头注入问题修复
  Rails 6默认会给所有跨域AJAX请求自动注入X-CSRF-Token头，S3接收到policy签名未包含的额外请求头后会直接返回403。在上传组件的JS配置中添加如下代码即可：

// 找到你初始化fileupload的代码，新增beforeSend配置
$('你的上传选择器').fileupload({
  // 原有配置保持不变，新增以下内容
  beforeSend: function(xhr) {
    xhr.setRequestHeader('X-CSRF-Token', '');
  }
});

• 签名算法不匹配问题修复
  旧版s3_direct_upload默认使用AWS v2版本签名，2016年后新建的S3存储桶/新AWS区域仅支持v4签名，同时v4签名必须指定正确的存储桶区域。在你的AWS初始化配置中添加如下参数：

# 使用aws-sdk-v1的配置方式
AWS.config(
  access_key_id: ENV['AWS_ACCESS_KEY_ID'],
  secret_access_key: ENV['AWS_SECRET_ACCESS_KEY'],
  region: ENV['AWS_REGION'], # 替换为你的存储桶实际区域，例如'us-east-1'
  signature_version: 'v4'
)

如果使用aws-sdk v3版本，配置如下：

Aws.config.update(
  credentials: Aws::Credentials.new(ENV['AWS_ACCESS_KEY_ID'], ENV['AWS_SECRET_ACCESS_KEY']),
  region: ENV['AWS_REGION'],
  signature_version: 'v4'
)

• policy过期时间校验
  检查Rails 6的时区配置是否和旧版一致，如果时区偏移导致生成的policy过期时间为过去时间，S3会直接返回403，确保config.time_zone配置和旧版应用完全匹配。

兼容现有架构的替代方案（仅修改签名生成逻辑，Paperclip完全不用改动）

如果上述方案无法生效，可替换s3_direct_upload的签名生成逻辑，前端仍保留原有jQuery-file-upload交互：

1. Gemfile中添加gem 'aws-sdk-s3'，执行bundle install
2. 后端新增生成预签名上传地址的接口：

def generate_presigned_url
  s3 = Aws::S3::Resource.new
  # 保持你原有文件路径规则不变，和Paperclip的路径规则匹配
  object_key = "你的文件路径规则/#{SecureRandom.hex}/#{params[:file_name]}"
  obj = s3.bucket(ENV['S3_BUCKET']).object(object_key)
  presigned_post = obj.presigned_post(
    acl: 'public-read', # 和你原有acl配置一致
    success_action_status: '201',
    content_type: params[:content_type],
    expires_in: 3600
  )
  render json: {
    upload_url: presigned_post.url,
    form_fields: presigned_post.fields
  }
end

3. 前端上传时先请求上述接口拿到上传地址和表单字段，填入fileupload的提交参数即可，后续文件存储、Paperclip处理逻辑完全不用修改。

内容的提问来源于stack exchange，提问作者Scott Milella