GitLab CI部署Vue.js至S3遇SignatureDoesNotMatch错误求助

这个签名不匹配的错误我之前在部署S3的时候也踩过好几次，大概率是密钥、权限或者配置细节出了问题，咱们一步步排查：

1. 先确认AWS密钥和权限是否正确 #

• 去GitLab项目的Settings > CI/CD > Variables里，检查AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY这两个变量：
  • 有没有多余的空格、换行符？复制密钥的时候很容易不小心带进来，直接导致签名计算错误。
  • 确保这对密钥对应的IAM用户有S3的必要权限，别给太宽泛的权限，但至少要包含部署需要的动作，比如：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "s3:ListBucket",
            "s3:PutObject",
            "s3:PutObjectAcl"
          ],
          "Resource": [
            "arn:aws:s3:::你的桶名称",
            "arn:aws:s3:::你的桶名称/*"
          ]
        }
      ]
    }
    

  • 可以先在本地用这对密钥执行aws s3 sync dist/ s3://你的桶名称，如果本地都报错，那肯定是密钥或权限的问题。

2. 检查区域配置是否匹配 #

S3桶的区域和GitLab CI里配置的AWS_REGION必须完全一致，不然签名算法会用错区域参数导致不匹配：

• 登录AWS控制台，找到你的S3桶，查看桶的区域（比如us-east-1、eu-west-1）。
• 在CI变量或者脚本里明确设置AWS_REGION为这个值，比如在deploy阶段的variables里加上AWS_REGION: "us-east-1"，或者用aws configure set default.region $AWS_REGION命令指定。

3. 强制使用S3 v4签名 #

有些新创建的S3桶默认要求使用v4签名，而旧版AWS CLI可能默认用v2，这时候需要在CI脚本里明确指定签名版本：
在deploy的script里加上这一行：

aws configure set default.s3.signature_version s3v4

或者直接在sync命令里加参数：

aws s3 sync dist/ s3://$S3_BUCKET/ --delete --acl public-read --signature-version s3v4

4. 确认桶名和路径是否正确 #

• S3桶名是全局唯一且签名计算时区分大小写的，要确保CI里写的桶名和实际桶名完全一致，别打错大小写或者多打少打字符。
• 如果部署到桶的子路径，比如s3://你的桶名称/dist/，别漏掉末尾的斜杠，不然同步的路径会出错，也可能触发签名问题。

给你一个参考的.gitlab-ci.yml示例 #

stages:
  - build
  - deploy

# 构建Vue项目的阶段
build:
  stage: build
  image: node:18-alpine
  script:
    - npm install
    - npm run build
  artifacts:
    paths:
      - dist/ # 把构建产物传到下一个阶段

# 部署到S3的阶段
deploy_to_s3:
  stage: deploy
  image: amazon/aws-cli # 用官方的AWS CLI镜像，避免版本问题
  dependencies:
    - build # 依赖build阶段的产物
  variables:
    AWS_REGION: "us-east-1" # 替换成你的桶所在区域
    S3_BUCKET: "你的S3桶名称"
  script:
    - aws configure set default.region $AWS_REGION
    - aws configure set default.s3.signature_version s3v4
    - aws s3 sync dist/ s3://$S3_BUCKET/ --delete --acl public-read # --delete会删除桶里没在dist里的文件，按需开启
  only:
    - main # 只在main分支执行部署

按照上面的步骤排查一遍，应该就能解决签名不匹配的问题了。

内容的提问来源于stack exchange，提问作者SmiffyKmc