AWS PHP SDK v3 检测S3对象是否存在及相关问题排查

• 核心问题是当前权限配置缺失 s3:HeadObject 操作的授权
  • AWS PHP SDK 中的 doesObjectExist() 方法底层就是直接调用 HeadObject 接口做存在性校验，你手动调用 HeadObject 时返回 403 Forbidden，本质就是 IAM 策略、桶策略都没有给当前身份开通 HeadObject 的操作权限
  • SDK 在捕获到接口返回的 403、404 等非 2xx 状态码时，会统一把 doesObjectExist() 的返回值处理为 false，不会区分是权限不足还是文件真的不存在，因此才会出现「所有实际存在的文件都被判定为不存在」的现象
• 为什么预签名URL生成功能完全正常
  • 预签名URL的生成过程是纯本地计算流程：SDK 只需要读取访问密钥、按规则拼接请求参数、计算签名串，全程不会和 AWS 服务端发送实际请求，因此哪怕没有实际的对象访问权限，只要本地参数配置正确，一样可以生成格式合规的预签名URL字符串，和服务端的实际权限、文件存在状态完全无关

1. 补全权限配置解决存在性校验失效问题 #

• 修改 IAM 用户的访问策略，在 Action 数组中新增 "s3:HeadObject"，保持原有资源配置不变（当前的资源范围已经覆盖了桶本身、桶内所有对象，刚好匹配 HeadObject 的资源权限要求）
• 如果是跨账号/跨角色访问场景，同步在 S3 桶策略的 Action 列表中新增 "s3:HeadObject"，确保桶策略和 IAM 策略的权限对齐，避免鉴权时被桶策略拦截
• 权限补全后，doesObjectExist() 就会恢复正常逻辑：文件存在返回 true，文件不存在返回 false，不会出现全量误判的情况

2. 关于简化实现的方案说明 #

• 不存在可以直接从预签名URL生成流程中拿到文件存在状态的可能：因为预签名URL生成是纯本地操作，全程无服务端交互，自然无法感知远端文件的实际状态
• 最优的简化实现路径不需要重复写逻辑：
  • 保留 doesObjectExist() 的轻量校验逻辑即可，HeadObject 接口只返回对象元数据，没有文件实体传输，请求开销极小，是 S3 场景下做存在性校验的标准方案
  • 不要用 GetObject 接口替代做校验，否则会拉取整个文件的二进制内容，产生不必要的流量开销和接口延迟

• 现有代码中 $preSignedExpiration 变量未在方法作用域内定义，虽然部分 PHP 环境下不会直接抛错，但会导致预签名URL的过期时间使用 SDK 默认值，不符合业务预期，需要在方法内显式传入过期时间，比如调用 createPresignedRequest 时传入类似 '+1 hour' 的合法时间参数即可

内容的提问来源于stack exchange，提问作者space97