对象存储接入网站后，最让人困惑的情况不是完全连不上，而是“后台上传成功，前台却显示 403”，或者图片能打开，字体和前端请求却被浏览器拦截。遇到这类问题，反复切换公开权限往往会让配置更乱。更有效的办法，是先确定错误发生在哪一层。
先收集三个关键信号
- 直接在无痕窗口打开文件原始地址，记录状态码和返回信息。
- 在网站页面查看浏览器网络面板，确认失败的是对象存储域名、CDN 域名还是网站接口。
- 检查请求是否经过重定向，以及响应头里有没有 CORS、缓存和防盗链相关字段。
直接访问就返回 403，通常先查对象权限、签名或防盗链；直接访问正常但页面报跨域，重点查 CORS；源站正常、CDN 地址异常，则优先检查缓存和回源配置。
第一层：确认对象和存储桶权限
私有存储桶里的文件不能用永久公开地址直接引用，通常需要临时签名 URL 或由应用鉴权后返回。公开读存储桶则要确认对象本身没有单独权限、路径大小写正确，并且上传程序没有写入错误的 Content-Type。
不要为了排错把整个存储桶改成可写。网站图片通常只需要公开读取，上传与删除应通过受控账号或服务端完成，并遵循最小权限原则。
第二层：CORS只解决浏览器跨域
CORS 规则决定浏览器是否允许某个网页读取跨域资源。普通图片标签有时能显示，但 Canvas、字体、前端上传或 JavaScript fetch 会受到更严格限制。规则至少要核对允许来源、请求方法、请求头和暴露响应头。
允许来源应写实际使用的 HTTPS 网站域名。生产环境不宜为了省事长期使用通配来源，尤其是携带凭证的请求。修改后要清除浏览器缓存并查看真实响应头，后台显示“已保存”不代表 CDN 节点已经更新。
第三层：防盗链可能误伤自己的页面
Referer 防盗链通常按请求来源放行。常见误伤包括：www 与非 www 未同时加入、HTTP 跳 HTTPS 后来源不匹配、移动端或预览域名遗漏，以及禁止空 Referer 导致用户直接打开图片失败。
先明确业务是否允许空 Referer，再把正式前端域名和必要的预览域名加入白名单。不要把后台、接口或临时测试域名写入公开文章；这些地址只应存在于服务配置中。
第四层：CDN可能缓存了旧的403
源站权限修好后，CDN 仍可能返回之前缓存的错误。用源站域名和 CDN 域名分别测试，比较状态码、Age、缓存命中标记和响应头。只刷新具体测试文件，不要一上来清空全站缓存。
如果 CDN 使用回源鉴权，还要检查回源 Host、签名密钥、路径重写和源站时间。签名 URL 大量过期时，也可能表现为间歇性 403。
一条不会绕晕的排查顺序
- 用一个新上传的小文件建立最小测试样本。
- 先测对象存储原始地址，再测自定义域名。
- 确认对象权限与 Content-Type。
- 在实际网页复现并读取浏览器控制台错误。
- 核对 CORS 与 Referer 白名单。
- 最后加入 CDN，验证回源和缓存。
每次只改一项并记录修改前后的响应头。这样即使问题由两层配置叠加，也能知道哪一步真正生效。
上线前还要做的安全检查
- 上传账号是否只拥有指定目录和必要操作权限；
- 私有文件是否使用短时签名而非永久公开；
- 访问日志和费用告警是否开启；
- 原图是否有独立备份，CDN 缓存不能当备份；
- 密钥是否保存在服务端，未写入网页源代码或公开仓库。
需要比较对象存储、CDN、建站工具或相关服务时，可以查看极跃圈资源导航。其中的活动与推广信息以本站当前页面为准，不从外部教程复制。
