调用Ceph对象网关返回400错误（XAmzContentSHA256Mismatch）求助

问题背景 #

向团队管理的Ceph RGW实例上传对象时返回400错误，最终定位到错误类型为XAmzContentSHA256Mismatch。已验证凭证有效（启动时可正常列出存储桶），本地Minio模拟环境无异常，其他使用Minio客户端的团队也未遇到此问题，但Ceph运维因流量过大无法开启调试日志。

客户端及上传代码配置如下：

S3客户端配置 #

public S3Client s3Client(S3Properties s3Properties) {
return S3Client.builder()
    .endpointOverride(URI.create(s3Properties.baseUrl()))
    .region(Region.of(Region.EU_CENTRAL_1.id())) // Not used by Ceph but required by AWS SDK
    .credentialsProvider(
        StaticCredentialsProvider.create(
            AwsBasicCredentials.create(s3Properties.accessKey(), s3Properties.secretKey())))
    .forcePathStyle(true)
    .build();
}

上传请求代码 #

var putRequest =
    PutObjectRequest.builder()
        .key(key) // 格式为"/attachments/uuid/fileName.ext"
        .bucket(s3Properties.bucket())
        .contentType(contentType) // 由Apache Tika生成
        .build();

PutObjectResponse putObjectResponse =
    s3Client.putObject(putRequest, RequestBody.fromBytes(fileContent));

可能诱因及解决步骤 #

1. SDK自动计算的SHA256与Ceph校验逻辑不一致 #

AWS SDK v2默认会自动计算请求体的SHA256并添加X-Amz-Content-SHA256头，部分Ceph RGW配置对该头的校验比Minio更严格，容易出现不匹配。

解决办法：显式计算并指定SHA256头
手动计算文件内容的哈希值，在请求中显式设置该头，避免SDK自动生成的潜在差异：

// 计算文件内容的SHA256哈希
MessageDigest digest = MessageDigest.getInstance("SHA-256");
byte[] hashBytes = digest.digest(fileContent);
String sha256Hex = HexFormat.of().formatHex(hashBytes);

// 构建请求时显式添加自定义头
var putRequest = PutObjectRequest.builder()
    .key(key)
    .bucket(s3Properties.bucket())
    .contentType(contentType)
    .putCustomHeader("X-Amz-Content-SHA256", sha256Hex)
    .build();

PutObjectResponse putObjectResponse = s3Client.putObject(putRequest, RequestBody.fromBytes(fileContent));

2. 禁用SDK自动SHA256计算 #

如果Ceph RGW不强制要求校验该头，可以直接关闭SDK的自动计算逻辑：

public S3Client s3Client(S3Properties s3Properties) {
    return S3Client.builder()
        .endpointOverride(URI.create(s3Properties.baseUrl()))
        .region(Region.of(Region.EU_CENTRAL_1.id()))
        .credentialsProvider(
            StaticCredentialsProvider.create(
                AwsBasicCredentials.create(s3Properties.accessKey(), s3Properties.secretKey())))
        .forcePathStyle(true)
        // 关闭SDK端的校验逻辑
        .serviceConfiguration(config -> config.checksumValidationEnabled(false))
        .build();
}

注意：此方案仅适用于Ceph RGW未强制要求X-Amz-Content-SHA256头的场景。

3. 检查对象键格式 #

当前对象键以/开头，虽然S3规范允许，但部分Ceph配置或中间网关可能对该格式存在兼容问题。尝试移除前导斜杠，改为attachments/uuid/fileName.ext后重新测试。

4. 排查中间代理/网关干扰 #

如果请求经过公司内部代理、API网关，需确认这些组件是否修改了请求体（比如自动压缩、添加额外字符），导致实际传输内容与SDK计算哈希的原始内容不一致。若条件允许，可尝试绕过中间组件直接连接Ceph RGW验证。

内容的提问来源于stack exchange，提问作者Benjamin Bajic