如何区分Invoke-WebRequest状态码，解决AWS路径鉴权与缺失均返回403问题

根因判断 #

你的PowerShell代码没有逻辑错误，该现象是AWS S3的默认安全机制导致的：

• 当请求发起的身份没有被授予s3:ListBucket桶级权限时，S3为了避免攻击者枚举桶内对象，不会告知请求者对象是否真实存在：无论是对象存在但无读取权限，还是对象本身不存在，都会统一返回403 Forbidden。
• 你使用HEAD方法请求的逻辑是合理的，S3对HEAD请求返回的状态码和GET请求完全一致，不需要调整代码实现。

实现状态码区分的方案 #

方案1：修改S3桶权限策略（推荐） #

为请求对应的身份（IAM用户/角色/匿名访问用户，根据你的实际场景决定）增加s3:ListBucket权限，配置完成后即可实现预期的状态码区分：

• 公开对象/有权限访问的私有对象：返回200
• 私有对象无读取权限：返回403
• 对象不存在：返回404

权限配置时可以增加路径前缀、IP等条件限制，仅开放必要路径的列举权限，避免全桶枚举的安全风险。

方案2：使用合法预签名URL发起请求 #

如果无法修改桶策略，使用签名有效、在有效期内的预签名URL访问私有路径时，也可以实现区分：

• 预签名URL无效：无论对象是否存在，均返回403
• 预签名URL有效：对象不存在返回404，对象存在且有权限返回200

内容的提问来源于stack exchange，提问作者Gordon