Django对接S3+Cloudfront静态文件400授权机制不支持错误求助

核心问题根因 #

你生成的签名本身是合法的，手动替换前缀可正常访问就足以证明Cloudfront配置没有问题，问题出在Django侧存储类的配置错误，导致生成URL时没有正确使用Cloudfront域名。

1. 修复自定义存储类错误 #

你当前的storage_backends.py中重写__init__方法时引用类属性没有加self.前缀，会触发变量未定义的报错，存储类初始化失败后会自动回退到默认的S3直链生成逻辑，这是你始终拿到S3域名的核心原因。
实际不需要重写__init__方法，直接定义类属性即可被父类正常读取，修正后的代码如下：

from storages.backends.s3boto3 import S3Boto3Storage

class StaticStorage(S3Boto3Storage):
    location = 'static'
    custom_domain = "xxxxxx.cloudfront.net"    
    signature_version = "s3v4"
    region_name = "eu-west-3"
    default_acl = "public-read"

class PublicMediaStorage(S3Boto3Storage):
    location = 'media'
    custom_domain = "xxxxxx.cloudfront.net"    
    signature_version = "s3v4"
    file_overwrite = False
    default_acl = "public-read"

2. 修正settings.py错误配置 #

1. 补充S3寻址方式配置，解决欧盟等新AWS区域的签名兼容问题，避免400签名错误：

AWS_S3_ADDRESSING_STYLE = 'virtual'

2. 修正STATIC_ROOT与MEDIA_ROOT为本地文件系统路径，这两个参数是Django执行collectstatic时本地临时存储资源的目录，不是S3上的路径：

STATIC_ROOT = os.path.join(BASE_DIR, 'staticfiles')
MEDIA_ROOT = os.path.join(BASE_DIR, 'mediafiles')

3. 如果你不需要给资源加访问签名（当前桶已公开、或Cloudfront OAI已经做了访问控制），可以关闭查询字符串签名，简化URL：

AWS_QUERYSTRING_AUTH = False

3. 确认AWS侧配置 #

1. Cloudfront源站的域名需填写带区域的S3域名：你的桶名.s3.eu-west-3.amazonaws.com，不要使用不带区域的全局S3域名
2. 确认S3桶的CORS配置允许你的站点域名发起GET请求

4. 生效配置 #

重启Django应用服务（Gunicorn/uWSGI等），重新执行collectstatic，清空浏览器缓存后再测试即可。

内容的提问来源于stack exchange，提问作者nassymooo