配置Cognito后使用Amplify向S3上传文件出现AuthorizationHeaderMalformed错误

根据你描述的“使用AWS SDK读取Amplify生成的凭证可正常完成S3上传、仅调用Amplify Storage API时触发授权头格式异常”的特征，可直接排除Cognito身份池权限、S3桶访问策略配置错误的基础问题，异常根源来自Amplify Storage模块的初始化逻辑缺口，具体诱因包括：

• 配置缺失导致签名组装失败：Amplify 5.x及以上版本已将Storage模块的默认访问层级从public调整为private，如果Storage配置中未显式声明defaultAccessLevel，模块内部在生成请求签名时，会因为缺失访问层级参数，直接跳过授权头三个必填组件（Credential、SignedHeaders、Signature）的组装流程，无签名直接发起请求，最终触发S3返回AuthorizationHeaderMalformed错误。
• 初始化流程不规范导致配置覆盖：如果代码中拆分多次调用Amplify.configure()，分别传入Auth和Storage的配置参数，后一次调用的内容会覆盖前一次的模块初始化结果，最终导致Storage模块无法关联到Cognito的身份凭证链，无法生成合法的请求签名头。
• 无关模块的逻辑劫持：代码中的console.log(Storage.vault)会触发Amplify端到端加密存储（vault模块）的初始化流程，若未提前配置vault对应的加密后端权限，该模块会劫持普通S3上传的签名逻辑，生成格式不符合S3要求的授权头。

• 补全Storage模块的必填配置，显式声明默认访问层级，示例参考：

Storage: {
    AWSS3: {
        region: process.env.REACT_APP_REGION,
        bucket: process.env.REACT_APP_BUCKET,
        // 根据业务场景选择public/private/protected
        defaultAccessLevel: 'public'
    }
}

该参数必须显式指定，不能依赖SDK内置的默认值，否则会触发签名生成逻辑异常。

• 修正Amplify初始化逻辑：将Auth、Storage等所有模块的配置内容一次性传入Amplify.configure()，禁止拆分多次调用configure方法造成配置覆盖。
• 清理调试代码：删除代码中对Storage.vault的打印逻辑，普通S3文件上传能力不需要触发vault模块初始化，提前访问vault相关属性会导致非预期的模块加载和逻辑劫持。
• 版本兼容排查：如果使用的是Amplify 6.x大版本，旧版Storage.put属于兼容层实现，存在已知的签名生成兼容问题，可升级到当前最新稳定版本验证效果。

内容的提问来源于stack exchange，提问作者Jônatas Thielke