.NET Core 2 Web API调用AWS S3报Access Denied但AWS CLI可用

我来帮你排查这个头疼的问题——AWS CLI能正常操作S3但.NET Core应用报AmazonS3Exception: Access Denied，大概率是应用和CLI的凭证/配置逻辑不一致，或者有容易忽略的权限细节，咱们一步步来梳理：

1. 先确认.NET Core应用使用的凭证是否和CLI一致 #

AWS SDK for .NET的凭证加载优先级和CLI略有不同，哪怕你用的是默认的.aws路径，也可能出现应用加载错凭证的情况：

• 检查Startup.cs里初始化AmazonS3Client的方式：
  • 如果是直接new AmazonS3Client()，它会按这个顺序找凭证：环境变量 > 共享凭证文件（~/.aws/credentials） > 实例元数据（本地开发跳过）。但如果代码里从appSettings硬编码了AccessKey/SecretKey，那肯定和CLI用的不是同一个。
  • 可以加一段调试代码（别泄露敏感信息）确认应用加载的凭证：

    var credentialChain = new CredentialProfileStoreChain();
    if (credentialChain.TryGetAWSCredentials("default", out var credentials))
    {
        var creds = credentials.GetCredentials();
        Console.WriteLine($"当前使用的AccessKey前缀：{creds.AccessKey.Substring(0, 4)}...");
    }
    

  • 对比CLI的凭证：运行aws configure list，看输出的access_key前缀和上面的是否一致，同时确认profile是default（或者你指定的profile）。
• 检查appSettings.Development.json里的AWS配置：
  如果有类似下面的节点，要确保Profile和Region和CLI完全匹配：

  "AWS": {
    "Profile": "default",
    "Region": "us-east-1"
  }
  

2. 排查S3桶和IAM权限的细节 #

哪怕凭证一致，也可能因为权限策略的限制导致拒绝：

• 检查桶的Bucket Policy：有没有设置IP限制、必须使用HTTPS等条件？比如如果Policy要求请求必须来自特定IP，而你的应用运行环境IP不在范围内，就会被拒绝；另外S3现在默认强制HTTPS，要是你的.NET代码里没配置使用HTTPS（比如旧版SDK默认HTTP），也会触发Access Denied。
• 确认IAM用户的权限：确保你的凭证对应的IAM用户有你需要的S3权限，比如读取桶内容需要s3:ListBucket，读取对象需要s3:GetObject，策略示例如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "s3:ListBucket",
          "s3:GetObject"
        ],
        "Resource": [
          "arn:aws:s3:::你的桶名",
          "arn:aws:s3:::你的桶名/*"
        ]
      }
    ]
  }
  

  注意Resource要同时包含桶本身和桶内的所有对象（/*后缀）。

3. 检查.NET Core和AWS SDK的版本兼容性 #

你用的是.NET Core 2，要确保安装的AWSSDK.S3版本是兼容的：

• 太新的SDK版本（比如5.x及以上）已经不再支持.NET Core 2，所以要选择3.x系列的版本，比如在csproj里指定：

  <PackageReference Include="AWSSDK.S3" Version="3.7.100.10" />
  

  这个版本是经过验证支持.NET Core 2的。

4. 确认桶的Region和代码配置一致 #

如果你的S3桶在us-west-2，但代码里默认用了us-east-1，请求会被重定向，部分情况下会直接返回Access Denied：

• 初始化AmazonS3Client时明确指定Region，比如：

  var s3Client = new AmazonS3Client(RegionEndpoint.USWest2);
  

• 或者在appSettings里把Region配置成桶实际所在的区域。

5. 排除MFA或临时凭证的影响 #

如果你的IAM用户启用了MFA，而CLI使用的是临时凭证（通过aws sts get-session-token获取的），但.NET应用直接用长期凭证的话会被拒绝。不过这种情况比较少见，你可以运行aws configure get aws_session_token，如果有输出说明用了临时凭证，这时候需要让.NET应用也使用临时凭证。

按照上面的步骤排查，应该能找到问题所在。

内容的提问来源于stack exchange，提问作者CodeWzrd