BitBucket私有仓库文件下载400错误排查及Client配置咨询

看起来你遇到的核心问题是自动重定向过程中错误携带了不必要的请求头，导致S3的预签名URL验证失败返回400。BitBucket的下载API返回302重定向到S3时，S3的预签名URL已经包含了所有必要的认证参数，不需要再携带Basic Auth或额外的Content-Type头，否则会触发签名不匹配的错误。下面是分步的排查和解决方法：

1. 明确问题根源：重定向请求的头污染 #

当你的Client自动跟随302重定向时，它可能会把原来给BitBucket的Authorization（Basic Auth）和Content-Type头一并带到S3的请求中，但：

• S3的预签名URL不需要Basic Auth，这个头会被视为无效请求参数
• 预签名URL生成时已经固定了允许的请求头集合，如果额外添加了Content-Type（而BitBucket生成签名时没有包含这个头），S3会直接返回400，因为签名验证不通过

2. 解决方案：分情况处理请求头 #

方案一：禁止自动重定向，手动处理S3请求 #

最稳妥的方式是先请求BitBucket获取重定向URL，再单独请求S3，完全避免头污染：

Python示例（使用requests库）

import requests
from requests.auth import HTTPBasicAuth

# 配置BitBucket信息
BITBUCKET_URL = "https://api.bitbucket.org/2.0/repositories/你的工作区/你的仓库/downloads/目标文件.exe"
USERNAME = "你的BitBucket用户名"
APP_PASSWORD = "你的BitBucket应用密码（需有repository:read和downloads:read权限）"

# 第一步：请求BitBucket，不自动重定向，获取S3的重定向地址
bitbucket_response = requests.get(
    BITBUCKET_URL,
    auth=HTTPBasicAuth(USERNAME, APP_PASSWORD),
    allow_redirects=False  # 关键：禁止自动重定向
)

if bitbucket_response.status_code == 302:
    s3_download_url = bitbucket_response.headers["Location"]
    # 第二步：请求S3，不需要任何额外头
    s3_response = requests.get(s3_download_url)
    if s3_response.status_code == 200:
        with open("下载的文件.exe", "wb") as f:
            f.write(s3_response.content)
        print("文件下载成功")
    else:
        print(f"S3请求失败，状态码：{s3_response.status_code}，响应：{s3_response.text}")
else:
    print(f"BitBucket请求失败，状态码：{bitbucket_response.status_code}，响应：{bitbucket_response.text}")

C#示例（使用HttpClient）

using System;
using System.IO;
using System.Net.Http;
using System.Net.Http.Headers;
using System.Text;
using System.Threading.Tasks;

class Program
{
    static async Task Main(string[] args)
    {
        var bitbucketUrl = "https://api.bitbucket.org/2.0/repositories/你的工作区/你的仓库/downloads/目标文件.exe";
        var username = "你的BitBucket用户名";
        var appPassword = "你的BitBucket应用密码";

        using var httpClient = new HttpClient();
        // 设置BitBucket的Basic Auth
        var authToken = Convert.ToBase64String(Encoding.ASCII.GetBytes($"{username}:{appPassword}"));
        httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic", authToken);

        // 第一步：获取重定向地址，不自动跟随
        var bitbucketResponse = await httpClient.GetAsync(bitbucketUrl, HttpCompletionOption.ResponseHeadersRead);
        if (bitbucketResponse.StatusCode == System.Net.HttpStatusCode.Redirect)
        {
            var s3Url = bitbucketResponse.Headers.Location;
            // 第二步：请求S3，新建请求避免携带原头
            using var s3Client = new HttpClient();
            var s3Response = await s3Client.GetAsync(s3Url);
            s3Response.EnsureSuccessStatusCode();
            
            var fileBytes = await s3Response.Content.ReadAsByteArrayAsync();
            File.WriteAllBytes("下载的文件.exe", fileBytes);
            Console.WriteLine("文件下载成功");
        }
        else
        {
            Console.WriteLine($"BitBucket请求失败，状态码：{bitbucketResponse.StatusCode}");
        }
    }
}

方案二：配置Client自动重定向时过滤不必要的头 #

如果你想保留自动重定向的行为，需要让Client在重定向到S3时移除Authorization和Content-Type头：

Python requests库的重定向钩子

import requests
from requests.auth import HTTPBasicAuth

def redirect_hook(res, *args, **kwargs):
    # 如果重定向目标是S3，移除Authorization和Content-Type头
    if "amazonaws.com" in res.url:
        res.request.headers.pop("Authorization", None)
        res.request.headers.pop("Content-Type", None)
    return res

session = requests.Session()
session.hooks["response"].append(redirect_hook)

# 发起请求，自动重定向
response = session.get(
    "https://api.bitbucket.org/2.0/repositories/你的工作区/你的仓库/downloads/目标文件.exe",
    auth=HTTPBasicAuth(USERNAME, APP_PASSWORD)
)
response.raise_for_status()
with open("下载的文件.exe", "wb") as f:
    f.write(response.content)

3. 额外注意事项 #

• 移除不必要的Content-Type头：BitBucket的下载API是GET请求，GET请求不需要设置Content-Type头，你之前添加这个头可能是多余的，反而会引发问题。
• 验证BitBucket应用密码权限：确保你的应用密码拥有repository:read和downloads:read的权限，否则初始请求BitBucket就会失败。
• 对比curl的行为：如果你的curl命令可以正常工作（比如curl -u username:app-password <bitbucket-url> -L -o file.exe），那是因为curl会自动在重定向到S3时移除Basic Auth头，你的Client需要模仿这个行为。

内容的提问来源于stack exchange，提问作者user9155788