amazon-web-services - AWS S3 的 getSignedUrl 为 put 对象返回 403

Question

我正在尝试获取一个预签名 URL 以将文件上传到 S3 存储桶。这是我的工作流程:

<强>1。调用 Lambda -> 2.获取预签名 URL -> 3.使用文件命中 URL (PUT)

<强>1。调用 Lambda

我确保 AWS key 具有正确的权限。事实上，它具有完全访问权限。这是源代码:

AWS.config.update({
  accessKeyId: '*****************',
  secretAccessKey: '*****************',
  region: 'us-east-1',
  signatureVersion: 'v4'
});

let requestObject = JSON.parse(event["body"]);
let fileName = requestObject.fileName;
let fileType = requestObject.fileType;
const myBucket = 'jobobo-resumes';

s3.getSignedUrl('putObject', {
"Bucket": myBucket,
"Key": fileName,
"ContentType": fileType
}, function (err, url) {

  if (err) {    
  mainCallback(null, err);
  } else {    
  mainCallback(null, url);    
  }

}

因此，我从请求中获取文件名、文件类型 (MIME) 并使用它来创建签名。

<强>2。获取预签名 URL当我点击 Lambda 时，我得到了预签名的 URL。现在，我将使用此 URL 将文件上传到 S3。

<强>3。使用文件命中 URL (PUT)

现在，我使用 HTTP 方法访问 URL 并添加文件(二进制)，查看我的 Postman 请求:

您可以看到我使用 PUT HTTP 方法发送了请求。我收到 403 错误。这是请求中的 header ，您可以看到内容类型是 image/jpeg:

当我尝试使用 POST 方法时，我发现签名无效。我猜这是因为签名是为 PUT 方法签名的。

这是 S3 存储桶的设置:

由于访问被拒绝，我完全打开了存储桶，我的意思是Block Public access: off。

设置有什么问题？也许是S3？

Answer 1

您在变量 s3 中有一个服务对象，但您没有在您的代码中显示该对象的构造位置...但它似乎是之前 您调用 AWS.config.update()，它不会以追溯方式重新配置您的 s3 对象。这些操作的顺序是个问题。

Updates you make to the global AWS.config object don't apply to previously created service objects.

https://docs.aws.amazon.com/sdk-for-javascript/v2/developer-guide/global-config-object.html

如果您仔细观察生成的 URL，您会发现实际上正在使用 Lambda 执行角色凭证，这就是访问被拒绝的原因。

赠品是 URL 中的 AWSAccessKeyId 不是您的，它是一个以 ASIA 开头的 session key ，而不是像普通访问 key ID 那样的 AKIA。此外，还有一个 session token x-amz-security-token，它不会出现在使用静态凭证生成的 URL 中。此外，此 URL 是 Signature V2，因此当您更正凭据配置问题时，签名 URL 的格式将发生显着变化。签名 V4 URL 具有 X-Amz-Credential 而不是 AWSAccessKeyId。