AWS API Gateway写入S3遇路径非法字符及认证问题求助

看起来你遇到的问题分两部分：路径里的非法字符错误，以及后续的S3认证失败。我来一步步帮你排查解决：

一、修复路径非法字符问题 #

你看到的Illegal character in path错误，核心原因是在集成S3的URL里直接用了{reqTimestamp}占位符，但API Gateway需要正确映射$context.requestTimeEpoch变量到S3对象键，不能直接硬写在URL路径中。正确的配置方式如下：

1. 集成请求基础设置

   • 选择AWS Service作为集成类型，服务选S3，区域填你的eu-west-1，HTTP方法选PUT（因为要写入对象）
   • 在路径覆盖（Path override）中填写data/{timestamp}，这里的{timestamp}是我们自定义的变量占位符

2. 映射模板配置

   • 转到集成请求下的映射模板，添加你实际使用的请求内容类型（比如application/json）
   • 在模板中把$context.requestTimeEpoch映射到路径参数，模板内容写：

     {
       "timestamp": "$context.requestTimeEpoch"
     }
     

   • 勾选使用请求路径参数，让API Gateway自动把模板里的timestamp变量替换到路径覆盖的{timestamp}位置

注：$context.requestTimeEpoch是纯数字，本身不存在特殊字符问题，之前的错误完全是变量映射方式不对导致的。

二、解决S3认证错误 #

认证失败通常是API Gateway使用的IAM角色权限不足，或者信任关系配置错误：

• IAM角色权限配置
  给API Gateway的执行角色添加以下S3权限策略（替换成你的桶名）：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::bucketname/data/*"
      }
    ]
  }
  

  这里的Resource精确到data/*，遵循最小权限原则，避免角色拥有过多权限。

• 角色信任关系配置
  确保角色的信任策略允许API Gateway服务扮演它，信任策略内容如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "apigateway.amazonaws.com"
        },
        "Action": "sts:AssumeRole"
      }
    ]
  }
  

• 集成请求凭证设置
  在集成请求的凭证部分，选择使用IAM角色，并填入你创建的有权限的IAM角色ARN，不要选无或其他错误的凭证方式。

三、额外验证步骤 #

1. 用API Gateway的测试功能发送请求，查看集成请求的实际路径，确认timestamp被替换成了正确的requestTimeEpoch值
2. 如果是前端调用API，检查S3桶的CORS规则，确保允许API Gateway的域名访问
3. 开启API Gateway的CloudWatch日志，查看具体错误详情，比如是否是权限不足的明确提示，或路径替换是否生效

内容的提问来源于stack exchange，提问作者alex88