OBS 新手上线前检查清单：权限、内网访问与缓存失效一次讲清

新手第一次把对象存储 OBS 用到线上，最容易在上线当天才发现问题：控制台能打开，网页却 403；本地能访问，服务器上却走公网扣流量；文件明明换了，浏览器还是旧图。本文把这些坑收成一份上线前检查清单，按顺序核对一遍，能省下很多返工。

一、先定权限，再谈访问

默认桶是私有的，这是好事。公开读要慎重：只对确实需要公开的静态资源放开，带用户数据、备份、配置的桶一律保持私有。程序访问不要把长期 AK/SK 写进前端代码，优先用 IAM 委托或临时凭证，并把权限收敛到指定桶和指定操作。静态网站托管开启后，还要检查默认首页、错误页和 CORS：前端跨域调接口时，允许的源、方法和头要按实际域名写，不要图省事写通配符。

二、同区域尽量走内网 Endpoint

同区域的 ECS 访问 OBS 时，优先用内网 Endpoint。内网访问不走公网，既省流量费，也少一层公网暴露面。核对三点：ECS 与桶是否在同一区域；代码或 SDK 里配的是内网域名还是外网域名；安全组和网络 ACL 是否放行了必要的出方向。跨区域、跨账号或用户直接访问时，再用外网 Endpoint 或 CDN，不要把内网地址直接发给终端用户。

三、对象命名与上传方式要一次定好

OBS 的键名看起来像目录，实际是扁平的对象名。目录分隔只是约定，删除空目录、按前缀分页列举时都要按这个心智模型来理解。单个小文件直接上传即可，大文件用分段上传，并处理好断点续传与异常清理，避免产生未完成的分段占用空间。对象一旦同名覆盖，旧内容就被替换；需要回滚能力时，提前开启版本控制，而不是事后找备份。

四、缓存失效要提前设计，不要上线后现想

这是最容易被低估的一点。浏览器和 CDN 都会缓存，覆盖同名对象后，用户可能仍看到旧文件。做法是：对会频繁变更的资源使用带版本或哈希的键名，例如 app.20261031.js；对不常变更的资源设置合理的 Cache-Control；上线后如需紧急刷新，走 CDN 刷新接口，并确认刷新范围是 URL 还是目录。只改源站不同名文件而不处理缓存，等于没有真正发布。

五、长期公开内容走 CDN，顺带做好防盗链

图片、脚本、样式等长期公开内容，优先通过 CDN 对外提供：既能就近访问，也便于统一做缓存、刷新和防盗链。防盗链按业务需要配置，例如只允许自有域名引用，临时链接则用带过期时间的签名 URL。不要把源站桶直接暴露为公开下载入口，否则流量和权限都难控制。

六、上线前 10 分钟核对表

1. 桶权限：私有还是公开读，是否符合资源性质；2. 访问方式：ECS 是否用了内网 Endpoint，区域是否一致；3. 命名与版本：键名规则是否统一，重要桶是否开启版本控制；4. 缓存：变更资源是否有版本化键名，CDN 刷新流程是否有人负责；5. 日志与告警：是否开启访问日志，存储量与请求量是否设置了告警；6. 删除与保留：重要数据是否有保留或对象锁定规则，误删后能否恢复。

结语：OBS 本身不难，难的是把权限、网络、命名、缓存和运维当成一个整体来检查。按上面六步走一遍，上线当天的大多数常见问题都可以提前拦截。