AWS SES Boto3 请求签名不匹配错误如何解决？

基础配置排查 #

• 确认密钥读取无偏差：检查密钥在代码、环境变量、~/.aws/credentials文件中的存储值，确认没有多余空格、换行符，也没有被上层逻辑自动做URL编码/转义。很多环境变量加载脚本会自动转义+、/等特殊字符，导致Boto3实际拿到的密钥和AWS控制台生成的原始值不一致，是这类报错的最常见诱因。
• 确认区域配置匹配：报错中显示请求的是us-east-1的SES端点，要确认初始化Boto3客户端时指定的region_name和密钥所属的AWS区域一致，同时SES沙箱环境下需要先完成对应区域的发件人/收件人邮箱验证。
• 确认IAM权限正常：对应IAM用户必须持有ses:SendEmail或ses:SendRawEmail权限，权限不足也可能触发签名类误报。

Boto3 配置调整方案 #

如果基础配置无异常，可按以下顺序调整参数修复问题：

1. 显式指定签名版本
   初始化SES客户端时强制指定AWS v4版本签名，代码示例：

import boto3
from botocore.config import Config

custom_config = Config(
    signature_version='v4',
    region_name='us-east-1'
)
ses_client = boto3.client('ses', config=custom_config)

2. 关闭多余参数校验
   旧版本Boto3可能对请求参数做多余的URL编码，导致签名计算和AWS端不一致，可关闭参数校验功能：

custom_config = Config(
    signature_version='v4',
    region_name='us-east-1',
    parameter_validation=False
)

3. 开启调试日志查看请求详情
   如果需要查看Boto3实际发送的请求内容和签名计算过程，可添加日志配置输出完整调试信息：

import logging
botocore_logger = logging.getLogger('botocore')
botocore_logger.setLevel(logging.DEBUG)

日志中会输出完整的请求头、本地计算的签名值，可直接和报错中AWS返回的标准规范字符串对比，快速定位问题根源。

含特殊字符密钥的处理规则 #

• 密钥中包含+、/等特殊字符时不需要手动转义，直接将AWS控制台生成的原始字符串写入配置即可，Boto3底层会自动处理签名所需的编码逻辑，提前转义反而会导致签名错误。
• 如果通过环境变量传递密钥，Linux/macOS环境下需要用单引号包裹密钥值，避免shell自动转义特殊字符，示例：export AWS_SECRET_ACCESS_KEY='原始密钥字符串'

内容的提问来源于stack exchange，提问作者jaredad7