配置报错「存储服务返回 4xx」：密钥、权限与域名的排查顺序

学完这篇，你能按固定顺序在几分钟内判断「存储服务返回 4xx」到底是密钥、权限还是域名的问题，而不是三个地方来回乱改。

第一步：先把错误码抓全，别急着改配置

后台「系统设置→云存储」保存后一般会有测试/上传动作，失败时页面提示里通常带着 HTTP 状态码和服务商返回的 Error Code。把这三样记下来：

• HTTP 状态码（400 / 401 / 403 / 404）
• Error Code（如 `SignatureDoesNotMatch`、`AccessDenied`、`NoSuchBucket`、`RequestTimeTooSkewed`）
• RequestId（找服务商工单时要用）

4xx 的含义是"请求方有问题"，也就是你的配置问题；5xx 才是服务商侧故障。

注意：不要看到 403 就直接去改密钥。403 是"身份过了但不让干"，和 401 的"身份没过"是两回事，改错方向会白折腾半小时。

第二步：先查域名和区域（改起来最快）

域名填错会伪装成 403 或 404，而且不需要回滚密钥，所以放在最前面查。

• 区域是否匹配：Bucket 在华东，Endpoint 填了华北的域名，典型表现就是 404 或 403。
• 内网域名还是外网域名：服务器不在该云厂商内网，就必须填外网访问域名。
• Bucket 名拼写：腾讯云一类要带 APPID 后缀，漏了就是 404。
• 别填 CDN 加速域名：CDN 域名通常只能用于下载，不能用于上传。
• 协议对齐：站点是 https，存储域名填 http 会被浏览器拦成混合内容。

注意：顺手确认后台「基本设置」里的站点地址带 `https://` 和主域名，www 与裸域混用会导致会话丢失，表现得像"上传到一半掉登录"。

第三步：再查密钥

域名对了还报 401/`InvalidAccessKeyId`/`SignatureDoesNotMatch`，就是密钥环节。

• 首尾空格或换行：从控制台复制时最常见，肉眼看不出来，建议删掉重填一遍。
• ID 和 Key 填反：两个输入框顺序对不上。
• 子账号被禁用或密钥已轮换：控制台里该 AccessKey 状态是"已禁用"或干脆被删了。
• 临时密钥过期：STS Token 有时效，表现是"刚配好能用，第二天全挂"。

注意：密钥不要截图发群，泄露后只能轮换，改配置是救不回来的。

第四步：最后查权限（403 的重灾区）

密钥正确却仍然 403 `AccessDenied`，说明身份没问题，是授权不够。按这个顺序看：

• 子账号策略：上传需要 `PutObject`，删除需要 `DeleteObject`，列表需要 `ListBucket`。只给了读权限就会出现"能看不能传"。
• 桶策略（Bucket Policy）：有没有一条显式 Deny 把你的来源 IP 或前缀挡住了。
• 防盗链 Referer 白名单：判断技巧是——如果"能上传但前台图片打不开"，基本就是防盗链，而不是上传权限。
• CORS 跨域规则：浏览器直传模式需要配置允许的来源域。

注意：把"上传 403"和"显示 403"分开看。前者查 PutObject，后者查 Referer 和读权限，两件事。

第五步：顺手看一眼服务器时间

签名类报错里，`RequestTimeTooSkewed` 或签名不匹配还有一种原因是服务器时间偏差超过 15 分钟。面板里点一下时间同步（NTP）即可，成本极低，别漏。

另外，路径前缀指向的目录如果服务商不自动创建，也可能返回 404/403，改成根路径测一次就能确认。

第六步：回退本地，确认不是站内环节

把云存储开关关掉，回到本地上传再测一次：

• 本地能传、云端不能传 → 问题百分百在云配置，继续按上面顺序查。
• 本地也不能传 → 和云存储无关。查后台「系统设置→上传」里的两个独立字段："允许的扩展名"（管图片）和"附件允许的扩展名"（管附件）；再查 PHP 的 `upload_max_filesize` / `post_max_size`（宝塔默认 2M，手机照片常超，建议调到 30M 以上）；最后确认 `uploads` 目录可写。

这一步能帮你把"云端问题"和"站内问题"彻底切开，避免在错误的方向上继续排查。

小结

• 4xx 是配置问题，5xx 才是服务商问题。
• 排查顺序：抓错误码 → 域名/区域 → 密钥 → 权限与 CORS/防盗链 → 服务器时间 → 本地回退验证。
• 403 分两种：「上传 403」查写权限，「图片打不开」查 Referer 和读权限。
• 密钥填错最常见的原因是首尾空格和 ID/Key 填反，重填一遍比反复检查更快。
• 每改一步就测一次，一次只改一个变量，否则你永远不知道是哪一项修好的。