Backblaze B2 与 Wasabi 怎么用：密钥、区域端点与上传报错

要把照片库或数据库备份放到对象存储，国内常见的两个海外选择是 Backblaze B2 和 Wasabi。它们都提供与 S3 兼容的接口，rclone、Cyberduck、Duplicati 都能接。真正卡住人的不是概念，而是控制台打不开、应用密钥只显示一次、以及命令行抛出 InvalidAccessKeyId 或 SignatureDoesNotMatch。从国内直连时，secure.backblaze.com 和 console.wasabisys.com 经常加载一半就停住。

这两家的计费、最短存储时间和免费出口额度并不一样，写进脚本之前先看清自己选的是哪一家。下面按「先打开控制台，再建密钥，再对端点，最后才传文件」来做。价格、区域和免费额度会调整，以官方最新条款为准。

B2 和 Wasabi 的控制台差在哪

Wasabi 对提前删除有最短存储时长，对象没存够约定期限就删，账单上仍可能按该期限计算，具体天数以官方最新条款为准。B2 的免费下载额度也按账户等级变化，不要把论坛里的旧数字写进预算。两家的密钥都不能提交到 Git 仓库。

从登不上控制台到能上传：分步操作

• 第一步：先把线路准备好，连上刺猬VPN。自定义用户名和密码即可匿名注册，不需要邮箱、也不需要手机号。免费节点永久免费、不限流量、不限速，适合先把控制台打开。全程 HTTPS+AES 加密传输。节点选美国或离你所选存储区域更近的会员节点。
• 第二步：用无痕窗口打开对应控制台。B2 从 Backblaze 账号进入 B2 Cloud Storage；Wasabi 直接打开 console.wasabisys.com。页面停在加载，先排除是线路问题，不要连续点重置密码。
• 第三步：建桶。名称全球唯一，全小写，不要用空格。权限先选私有。区域一旦选定，不能靠改个下拉框把数据搬过去，迁区域等于新建桶再复制。
• 第四步：建密钥。B2 在 App Keys 里创建，记下 keyID 和只出现一次的 applicationKey。Wasabi 在 Access Keys 里创建，记下 Access Key 与 Secret Key。关掉页面之前先放进密码管理器。
• 第五步：限制密钥权限。只给目标桶的列表、读取、写入，不要默认用主账号的全权限密钥跑定时脚本。
• 第六步：核对端点。B2 的 S3 端点形如 s3.us-west-004.backblazeb2.com，区域字符串必须和建桶时一致。Wasabi 用 s3.us-east-1.wasabisys.com 这类地址，同样要和桶的区域一致。
• 第七步：用 rclone 做一次小文件试传。配置里 type 选 s3，provider 选 Backblaze 或 Wasabi，填入密钥和端点。先 rclone ls 看桶，再 rclone copy 一个几 MB 的文件，成功后再挂大目录。
• 第八步：校对电脑时间。两边误差超过几分钟时，签名会失败，报 RequestTimeTooSkewed。Windows 打开「Internet 时间」同步，再重试上传。
• 第九步：浏览器直传才需要 CORS。只在服务器上用 rclone，不必改 CORS。若是网页前端直传，在桶的 CORS 规则里只放你自己的域名。

按报错原文排查

对象存储的报错几乎都带错误码，先看尖括号里的 Code，再改配置，不要只重试。

• InvalidAccessKeyId：密钥 ID 抄错，或把 B2 的 keyID 填进了 Wasabi 的 Access Key 栏。回到创建密钥的那一家控制台核对。
• SignatureDoesNotMatch：Secret 有空格、少了字符，或端点区域和签名所用区域不一致。重新粘贴 Secret，并检查 endpoint。
• AuthorizationHeaderMalformed：请求打到了错误区域的端点。桶在 eu-central-1，命令却写着 us-east-1，就会这样。
• RequestTimeTooSkewed：本机时钟漂移。先同步系统时间，再传。
• AccessDenied：密钥没有这个桶的权限，或桶策略拒绝了该操作。换成刚建的、只含该桶的密钥试一次。
• NoSuchBucket：桶名拼写错误，或你连的账号根本不是建桶的那个。确认账号邮箱和配置文件是同一套。
• SlowDown：请求太密。脚本里加上重试间隔，不要开几十个并发把小文件一次性推完。
• 控制台能开、rclone 超时：命令行没走系统代理。客户端使用全局模式，或在 rclone 所在终端确认流量经过线路。刺猬VPN没有按应用勾选代理，不要去找「把 rclone 加入代理列表」这种开关。

三档线路和两种存储怎么配

备份是持续写盘，不是打开一个网页。免费节点用来验证密钥、端点和一条小文件；整库迁移用时长套餐，期间不限流量、不限速。刺猬VPN自身不对账号设速率上限，实际上传速度仍受本地磁盘、国际出口和对象存储一侧限流影响。实际可用性取决于当前网络环境。

和 AWS、Cloudflare 控制台的分工

如果桶只是 S3 兼容，不代表操作习惯和亚马逊控制台一样。登录、账单和 IAM 的差异见 AWS 控制台打不开怎么办。域名、缓存和 Workers 走的是另一套面板，见 Cloudflare 控制台与 Workers。B2 或 Wasabi 负责存对象，不要把 DNS 记录也建在对象存储里。

迁移顺序建议固定：先在新桶用生命周期和版本控制按你的需要设好，再用 rclone sync 做一次只读核对，确认文件数一致，最后才改应用里的端点。旧桶至少再保留一个账单周期，避免脚本还指向旧地址。

常见报错速查表

命令行和图形工具怎么对照

同一把密钥，rclone、Cyberduck 和 aws 命令行的填法不一样。rclone 的 provider 要选 Backblaze 或 Wasabi，endpoint 只填主机名，不要再加桶名路径。Cyberduck 的协议选 Amazon S3，服务器栏填同一台端点，Access Key ID 填 B2 的 keyID 或 Wasabi 的 Access Key。aws 命令行必须带上对应的 endpoint-url，否则它会去访问亚马逊默认区域，马上报桶不存在。

三边都先做列表，不要第一下就同步整块盘。rclone 用列出远程桶的命令看对象是否出现；Cyberduck 连上后应看到文件，而不是反复索要密码；aws 的列表命令能返回对象名，才说明区域和密钥同时正确。大目录在同步前先做一次演习运行。方向写反时，本地空文件夹会被当成「云端也应为空」，直接删掉线上对象。

桶开了版本控制，误删还能从旧版本拉回；没开就没有这一层。Wasabi 上误删还可能按最短存储时长继续计费，动手前看清该区域规则，以官方最新条款为准。Windows 计划任务或 macOS 的定时作业若在未登录时运行，客户端没连上时日志仍像密钥失效。先确认任务触发时线路已经连着。日志里再次出现 SignatureDoesNotMatch，优先检查任务是不是读了另一份旧配置。

从测试文件走到整库，顺序要固定。先上传一个很小的文本，再下载回来核对大小一致。接着传一个带中文文件名的文件夹，确认列表里没有变成乱码，也没有被拒绝。两条都通过，才按目录分批同步，不要一次圈进整个用户目录。照片和数据库备份分成两个桶。照片以后可以按前缀转到较少访问的层级，数据库备份更在意按日期整份找回。生命周期如果写成若干天后删除，测试文件也会一起被删，写规则时把前缀限定在正式目录。换区域时，不要只改端点就指望数据跟着走。新建目标区域的桶，从旧桶同步过去，核对对象数量，再修改应用里的配置。旧桶至少留到下一个账单日。钥匙按桶拆开，确认没有脚本再使用之后，才吊销旧钥匙。几个人共用存储时，每人单独一把钥匙，不要把主钥匙发到聊天群。有人离开团队，只吊销他那一把，其他备份任务不受影响。本地磁盘先留出和本次增量相当的空闲空间，工具需要临时文件时，磁盘写满会报成网络中断，看起来像线路断了，其实文件根本没开始传。上传中途不要让电脑睡眠，睡眠恢复后连接号还在，对象却只写了一半，下次同步会把残缺文件当成已完成。把电源设置改成接通电源时不睡眠，整库传完再改回去。传完后在控制台抽查三个对象的大小，和本地文件属性对照，一致再考虑删掉本地副本。抽查时顺手看一眼对象的修改时间，是不是刚才这一次，避免看的是上周的旧文件。

高频问答

• 问：B2 的 Master Application Key 能直接用吗？答：能用，但不该放进日常脚本。给备份单独建一把只含目标桶的 App Key。
• 问：Wasabi 删掉文件为什么下个月还有费用？答：提前删除可能仍按最短存储时长计费。删之前看清该区域的规则，以官方最新条款为准。
• 问：端点要不要带 https？答：要。rclone 的 endpoint 填主机名即可，它会自己走 HTTPS。不要再套一层错误的路径。
• 问：公开桶能不能代替密钥？答：公开只适合可对外的文件。备份盘保持私有，靠密钥访问。
• 问：Cyberduck 和 rclone 哪个先试？答：先 rclone ls，成功说明密钥和端点是对的，再换图形工具。
• 问：控制台要邮箱，刺猬VPN 也要邮箱吗？答：对象存储账号按它自家的注册要求来。刺猬VPN 本身用自定义用户名和密码，不需要邮箱和手机号。

密钥只出现一次时怎么留底

创建完成的瞬间把 keyID 和 Secret 放进密码管理器，并写上桶名、区域和端点主机名。只保存密钥、不保存端点，下次仍会配错区域。换电脑时导出 rclone 配置要加密，配置文件里就是明文密钥。旧密钥确认新脚本已跑通再在控制台吊销。

Backblaze B2 与 Wasabi 的上传失败，多数是控制台没打开、密钥抄错、端点区域不一致或本机时间不准。线路只解决前半段的访问，签名和权限仍要按错误码处理。刺猬VPN 采用 HTTPS+AES 加密传输，免费节点永久免费、不限流量、不限速；时长套餐按周期计费，期间不限流量、不限速。一个账号支持多设备同时在线。价格与区域以官方最新条款为准，实际可用性取决于当前网络环境。