使用boto3.resource('s3')获取S3对象元数据报HeadObject 403错误如何解决

你遇到的403错误是boto3 s3 resource的metadata属性底层调用HeadObject接口时，请求被S3拒绝导致的，核心原因为权限配置不匹配，可按以下步骤排查解决：

1. 核心权限配置排查（占90%以上场景） #

• 首先确认执行代码的身份（IAM用户、IAM角色、EC2实例配置文件、Lambda执行角色等）是否关联了包含s3:HeadObject权限的策略，仅获取元数据不需要完整的s3:GetObject权限，配置s3:HeadObject即可满足需求。
• 检查策略的资源配置是否覆盖当前目标对象，正确配置示例（中国区）：

{
    "Effect": "Allow",
    "Action": "s3:HeadObject",
    "Resource": "arn:aws-cn:s3:::mybucket/L1/input/file.json"
}

注意：对象级操作的资源路径需要匹配到具体对象或前缀通配符，不能仅配置到桶级别arn:aws-cn:s3:::mybucket；如果是AWS国际区，将ARN中的aws-cn替换为aws即可；如果需要匹配该前缀下所有对象，可将资源路径改为arn:aws-cn:s3:::mybucket/L1/input/*。

• 如果桶或对象配置了独立ACL，需要确认当前访问身份对该对象拥有读权限。

2. 其他特殊场景排查 #

• KMS加密场景：如果目标对象使用了KMS客户托管密钥（CMK）加密，需要额外给执行身份添加KMS的kms:Decrypt权限，否则即使S3权限配置正确也会返回403。
• 显式拒绝规则冲突：检查桶策略是否存在限制源IP、VPC、请求时间、请求头等条件的显式拒绝规则，若当前请求命中拒绝规则，会直接返回403。
• 凭证有效性校验：确认代码使用的AK/SK、临时访问凭证没有过期、没有被禁用；同时检查桶名、对象Key拼写是否正确，S3的Key是大小写敏感的，部分桶配置了隐藏不存在对象的策略时，路径拼写错误会返回403而非404。
• 特殊访问方式校验：如果通过VPC端点、S3访问点访问存储桶，需要确认VPC端点策略、访问点策略允许当前身份访问对应桶和对象。

3. 修复后代码优化 #

权限配置正确后原有逻辑无需修改即可正常运行，建议优化变量命名避免覆盖Python内置的object类，可选主动调用load()方法提前校验权限：

import boto3

bucket = 'mybucket'
key = 'L1/input/file.json'
s3_resource = boto3.resource('s3')
s3_object = s3_resource.Object(bucket, key)
# 主动触发HeadObject请求，提前校验权限避免后续报错
s3_object.load()
metadata = s3_object.metadata
# 输出Content-Type元数据
print(metadata.get('Content-Type'))

内容的提问来源于stack exchange，提问作者adhi hari