AWS S3 Lambda调用GetPresignedUrl出现Request Signature Does Not Match错误如何解决

• 强制使用S3 V4签名
  Lambda运行时使用的STS临时凭证必须搭配S3签名版本V4才能生成合法的预签名URL，旧版本SDK默认的V2签名不支持x-amz-security-token参数校验，会直接报签名不匹配错误。你需要在初始化AmazonS3Client时显式指定签名版本，同时确保配置的区域和S3桶实际所在区域完全一致：

var s3Config = new AmazonS3Config
{
    RegionEndpoint = RegionEndpoint.GetBySystemName(_amazonConfig.Region),
    SignatureVersion = "4"
};
// 用该配置初始化S3客户端即可
AmazonS3Client = new AmazonS3Client(s3Config);

• 调整预签名URL有效期不超过临时凭证有效期
  Lambda默认分配的STS临时凭证有效期为1小时，你生成的预签名URL过期时间Expires不能超过该凭证的过期时间，否则签名会提前失效。如果需要更长的有效期，可以先在IAM控制台调整对应Lambda执行角色的STS临时凭证最大有效期，最高支持12小时。
• 确认角色权限没有限制
  除了基础的s3:GetObject权限外，要确认Lambda执行角色没有附加权限边界，也没有组织层面的SCP策略拦截S3访问操作，临时凭证本身权限不足也会触发签名不匹配报错。
• 检查文件Key的特殊字符编码
  如果你的文件Key包含中文、空格、特殊符号，要确认Lambda运行环境的编码和本地一致，生成预签名URL时Key的编码格式统一，避免因为编码不一致导致参与签名计算的字符串和实际请求不符。

内容的提问来源于stack exchange，提问作者mrznrzmn