使用Ruby调用需AWS认证的Post API返回403 Forbidden问题排查

我之前也碰到过一模一样的问题——Postman能正常调用，但Ruby代码一跑就返回403 Forbidden，折腾了好一阵子才找到原因。结合你用aws-sdk v3的情况，给你几个排查方向和靠谱的解决方案：

1. 别手动签名！用aws-sdk v3自带的签名工具 #

手动用net/http拼签名很容易踩坑，AWS的SigV4签名规则细节太多（比如请求头、路径、时间戳的处理），aws-sdk v3已经帮我们封装好了Aws::Sigv4::Signer，直接用它就对了。给你个可直接复用的代码示例：

require 'aws-sdk-core'
require 'net/http'
require 'json'

# 从登录API获取的临时凭证
temp_credentials = Aws::Credentials.new(
  'your_access_key_id',
  'your_secret_key',
  'your_session_token' # 临时凭证必须传这个，不然签名会缺失关键信息
)

# 初始化签名器，注意service和region要和目标API完全匹配
signer = Aws::Sigv4::Signer.new(
  credentials: temp_credentials,
  service: 'execute-api', # 如果是API Gateway服务填这个；其他服务比如S3填's3'，Lambda填'lambda'
  region: 'us-east-1' # 替换成你的API部署区域
)

# 准备请求
target_url = URI('https://your-api-endpoint.com/v1/your-resource')
http = Net::HTTP.new(target_url.host, target_url.port)
http.use_ssl = true if target_url.scheme == 'https'

request_body = { key: 'your_payload_data' }.to_json
request = Net::HTTP::Post.new(target_url.path)
request['Content-Type'] = 'application/json' # 和Postman里的Content-Type保持一致
request.body = request_body

# 让签名器自动处理请求签名
signed_headers = signer.sign_request(
  http_method: 'POST',
  url: target_url.to_s,
  headers: request.to_hash,
  body: request_body
)

# 把签名后的头信息赋值给请求
signed_headers.each do |key, value|
  request[key] = value
end

# 发送请求
response = http.request(request)
puts response.body

这里有几个绝对不能错的关键点：

• service参数：必须和目标API所属的AWS服务对应，比如API Gateway就是execute-api，填错直接403；
• session_token：临时凭证一定要传进Aws::Credentials，这是很多人容易漏的点；
• 请求头和请求体：必须和Postman里的完全一致，比如Content-Type如果是application/x-www-form-urlencoded，就不能写成application/json。

2. 对比Postman和Ruby的签名细节 #

如果还是不行，直接把Postman的签名信息和Ruby代码的对比，找差异：

• 在Postman里发送请求后，打开「Headers」标签，找到Authorization头，里面会显示Credential、SignedHeaders、Signature这些细节；
• 在Ruby代码里打印出签名后的request['Authorization']，对比两者：
  • Credential里的region和service是否和Postman一致？
  • SignedHeaders里的头列表是否完全匹配？比如Postman里包含content-type;host，Ruby里也必须包含这两个头。

3. 检查服务器时间是否同步 #

AWS签名对时间要求很严，如果你的服务器时间和AWS的时间差超过5分钟，签名会直接被拒绝。可以用puts Time.now.utc查看Ruby环境的时间，和AWS官方时间（比如AWS官网底部显示的时间）对比，误差太大就同步服务器时间。

4. 确认临时凭证的权限 #

虽然Postman能跑，但要确保Ruby里用的临时凭证和Postman的是同一个，或者该临时凭证确实有调用目标API的权限。可以登录AWS控制台，查看对应的IAM角色/用户权限，确认是否包含目标API的调用权限（比如API Gateway的execute-api:Invoke动作）。

内容的提问来源于stack exchange，提问作者marco8757