使用AWS Signature Version 4预签名GET URL遇SignatureDoesNotMatch错误求助
我之前踩过一模一样的坑！这种签名不匹配的问题往往都是一些容易被忽略的细节导致的，给你列几个我排查这类问题时必查的点，你可以逐一核对：
先确认时间同步问题
AWS SigV4对时间的要求特别严格，如果你的本地机器/服务器时间和AWS的时间差超过5分钟，直接就会触发签名不匹配。赶紧用date（Linux/macOS）或者Get-Date（Windows）命令核对下时间，必要时开启NTP同步，这个是最容易被忽略的点！桶名和区域必须完全匹配
别小看这个，我见过很多人在这里栽跟头：比如桶名是my-data-bucket-us-east-1，代码里却写成了us-west-2区域；或者桶名不小心用了大写（S3桶名必须全小写！）。一定要确保代码里的桶名、区域和AWS控制台显示的完全一致，连多余的空格都不能有。请求参数要完全一致
预签名URL生成时的所有参数（比如过期时间Expires、对象路径Key）必须和实际访问时的参数丝毫不差。比如你生成URL时指定的对象路径是files/2024-report.pdf，实际访问时却写成了Files/2024-Report.pdf，大小写或者路径错一点都会触发错误。另外，对象路径里的特殊字符（比如空格、中文）要正确编码，代码里要确保编码逻辑没问题。验证AWS凭证的有效性和权限
先确认你用的Access Key和Secret Key是有效的，并且拥有s3:GetObject权限（毕竟是预签名GET请求）。可以用aws s3 ls s3://your-bucket-name命令测试下凭证能不能正常访问桶，排除权限问题。如果用的是IAM角色的临时凭证，别忘了把Session Token也加入签名计算，临时凭证必须带Session Token才能生成有效的预签名URL。核对签名计算的每一步细节
SigV4签名计算分三大步：生成规范请求、生成签名串、计算最终签名。你可以把自己生成的规范请求和AWS官方示例（用相同参数）对比，看哪里不一样：- 规范请求的HTTP方法必须是全大写的
GET - 路径部分要正确编码，如果是非虚拟主机模式，路径应该是
/your-bucket/object-key - 查询字符串要按字典序排序，参数名和值都要正确编码
- 签名串的格式是
AWS4-HMAC-SHA256\n{timestamp}\n{date-region-service}\n{hashed-canonical-request}，其中timestamp必须是YYYYMMDD'T'HHMMSS'Z'格式，date-region-service是YYYYMMDD/region/service/aws4_request（比如20240520/us-east-1/s3/aws4_request）
- 规范请求的HTTP方法必须是全大写的
检查SDK版本和配置
如果你是用AWS SDK生成预签名URL，确保SDK是最新版本，旧版本可能存在边缘场景的bug。另外，有些SDK默认用虚拟主机模式访问S3，如果你的桶名里有.或者不符合DNS规范，可能会导致签名计算方式变化，这时候可以强制SDK使用路径模式生成URL。
要是还是找不到问题，可以把生成预签名URL的关键代码片段（记得隐去敏感的密钥信息）贴出来，大家能帮你更精准地定位问题。
内容的提问来源于stack exchange，提问作者Sam H.
