Rails使用Paperclip搭配aws-sdk-s3上传时出现AWS S3 AccessDenied错误

先做凭证有效性校验 #

• 进入Rails控制台执行以下代码，不要盲目相信figaro的变量注入结果：

  client = Aws::S3::Client.new(
    region: ENV['AWS_REGION'],
    access_key_id: ENV['AWS_ACCESS_KEY_ID'],
    secret_access_key: ENV['AWS_SECRET_ACCESS_KEY']
  )
  client.list_buckets
  

  能正常返回有权限的bucket列表，才说明凭证和网络链路是通的
• 核对当前IAM身份的权限：必须覆盖对目标bucket的s3:PutObject、s3:PutObjectAcl、s3:GetObject、s3:ListBucket操作权限，缺任意一项写操作权限都会触发AccessDenied
• 逐字核对环境变量里的AWS_BUCKET值，排除拼写错误、多余空格、误指向其他账号无权限bucket的问题
• 确认AWS_REGION和bucket实际所属区域完全一致，区域不匹配会触发路由错误，最终衍生出AccessDenied的假报错

排查配置层冲突 #

• 你现在同时存在两套凭证配置源：development.rb里从环境变量读取的S3凭证，和项目根目录的aws.yml文件。Paperclip默认会优先读取存在的aws.yml配置，你在示例里给aws.yml配的是占位值MY_AWS_ACCESS_KEY_ID、MY_AWS_SECRET_ACCESS_KEY，这会直接覆盖环境变量里的真实凭证，这是最高发的踩坑场景
• 处理方式：要么删除根目录下冗余的aws.yml文件，要么把文件里的占位值替换成和环境变量完全一致的真实凭证，避免双配置源冲突
• 检查path配置：你现在的path开头带了前导斜杠'/:class/:attachment/:id_partition/:style/:filename'，带前导斜杠的对象键会被部分开启了对象键校验的S3存储配置直接拒绝写入，把path改成':class/:attachment/:id_partition/:style/:filename'（去掉最前面的斜杠）再测试
• 核对协议配置：你设置的s3_protocol: 'http'，如果目标bucket开启了阻止公共访问、强制HTTPS传输、或桶策略拒绝HTTP请求，就会直接触发访问拒绝，临时改成'https'排除影响

排查模型层配置问题 #

• 检查对应模型的表结构：如果定义了has_attached_file :photo这类附件字段，但表结构里缺失对应的photo_file_name、photo_content_type、photo_file_size、photo_updated_at元数据字段，Paperclip生成写入路径时会出现异常，衍生AccessDenied报错
• 检查模型层有没有单独给has_attached_file覆写S3配置，比如指定了错误的bucket、关闭了默认权限配置

精确定位报错根因 #

• 在控制台手动执行完整上传逻辑，打印完整堆栈：

  test_record = 对应模型.first
  test_record.photo = File.open('本地测试图片路径')
  test_record.save!
  

  不要只看最外层的AccessDenied提示，完整堆栈里会包含被S3拒绝的具体操作、请求URL，可以直接定位是写入对象失败、修改对象ACL失败、还是桶策略校验失败
• 做对照测试：临时给当前IAM身份添加S3全权限，如果加权限后上传正常，说明是IAM权限粒度配置不足的问题；如果加了全权限还是报访问拒绝，就一定是配置层（凭证错误、配置冲突、路径错误）的问题，不需要再往IAM方向排查

内容的提问来源于stack exchange，提问作者Kashyap