Cloudflare R2 上传被拒绝：密钥、管辖区和跨域怎么核对

Cloudflare R2 是对象存储，控制台在 Cloudflare 仪表盘里，接口与常见的对象存储工具兼容。国内打开仪表盘时，登录和静态资源可能加载不全。上传失败则多半发生在密钥、桶的权限或跨域，而不是网页没刷新。创建密钥时要选对账号和桶，管辖区（数据放在哪个区域）在创建桶时确定，事后不能靠换一条线路改掉。

价格、免费额度和出口流量的计费方式以 Cloudflare 官方定价页为准。下面只讲你自己账号里的桶，不要使用别人泄露的密钥。

控制台、密钥和工具各看什么

账户编号、桶名和访问密钥是三样东西。只复制密钥、沿用别人示例里的账户编号，会稳定地认证失败。

从打开仪表盘到上传成功

• 第一步：先把线路准备好。安装刺猬VPN，自定义用户名和密码注册，不需要邮箱和手机号。免费节点永久免费、不限流量、不限速。连上后再打开 Cloudflare 仪表盘。全程 HTTPS+AES 加密传输。
• 第二步：无痕窗口登录。能看到账号首页再进入 R2。白屏就换节点重开，不要在空白页创建密钥。
• 第三步：确认桶所在的管辖区。程序里的终端地址必须和这个桶的地址一致，不要混用另一个区域的示例。
• 第四步：创建访问密钥时只授予这个桶需要的权限。把密钥和秘密一次性存进部署环境，不要写进仓库，也不要贴进聊天。
• 第五步：用官方或你信任的工具做一次小文件上传。小文件成功、大文件失败，再查中途断线和超时，而不是先改权限。
• 第六步：浏览器直传如果被拦，检查桶的跨域规则是否包含你的网站来源、方法和头。规则没保存成功时，刷新设置页核对。
• 第七步：提示访问被拒绝，就看这条密钥是否被限制到别的桶、是否已撤销。不要把管理员令牌长期放在脚本里。
• 第八步：轮换密钥时先让新密钥上传成功，再撤销旧的。顺序反了，线上会中断。
• 第九步：手机只看告警邮件。改配置在电脑。中国大陆区 App Store 不提供 VPN 类应用，安装客户端需外区 Apple ID，在 App Store 搜索「Hedge VPN」，见 iOS 安装教程。

按现象排查

先分清仪表盘打不开，还是只有上传失败。

• 仪表盘白屏：资源没下完。换节点，无痕重开。
• 密钥无效：账户编号、密钥或秘密有一项是错的或已撤销。重新核对三样，新开终端。
• 访问被拒绝：密钥没有这个桶的权限，或桶名写错。不要先改跨域。
• 只有浏览器失败、命令行成功：跨域规则不匹配。改桶的跨域，而不是换密钥。
• 大文件中断：连接中途断开。固定节点重试，确认工具支持续传再传大文件。
• 传到了别的区域：终端地址抄错。对照桶详情里的地址。
• 旧密钥仍能用：撤销没生效或环境还指向旧值。两处都检查。
• 公共读开了仍打不开链接：对象权限和桶的公共访问不是同一开关。按文档核对你打开的那一个。
• 队友能传、你不能：你的环境变量是旧的。对齐密钥，不要共享个人登录去传文件。

线路和密钥怎么配

免费节点适合确认仪表盘能否打开。大文件上传用时长套餐，期间不限流量、不限速。刺猬VPN自身不对账号设速率上限。实际可用性取决于当前网络环境。

人和脚本分开

人用仪表盘登录核对桶和跨域。脚本只用访问密钥。不要把个人登录会话放进自动化。

开发、预览、生产用不同的桶或至少不同的密钥。三个环境共用一把密钥，轮换时会一起断。

从别的对象存储迁过来时，先传一批不重要的文件，核对管辖区和链接，再迁正式数据。先改线上地址会让用户下载到空桶。

截图给同事之前遮住账户编号和密钥。秘密一旦出现在截图里就当泄露，立刻撤销。

和 Workers、云控制台的分工

同一账号下的 Workers 和域名配置，见 Cloudflare 控制台与 Workers。若对象仍在另一家云上，控制台登录见 AWS 控制台打不开怎么办。

R2 只管这个桶里的对象。计算脚本、域名解析不要写进上传失败的同一步。密钥和定价以官方最新界面和条款为准。

常见报错速查表

高频问答

• 问：兼容接口是不是所有工具都能用？答：要看工具是否支持你填的终端地址和签名。以一次小文件上传为准。
• 问：换节点能改数据存放地吗？答：不能。管辖区在创建桶时决定。
• 问：密钥可以提交到仓库吗？答：不可以。放在部署环境，泄露了就撤销。
• 问：公共链接打不开？答：先分清桶的公共访问和单个对象的权限。
• 问：免费额度够不够？答：看账户里的用量和官方定价，不要靠感觉。
• 问：仪表盘时好时坏？答：固定节点完成登录和一次上传。实际可用性取决于当前网络环境。

先小文件再迁数据

先用小文件确认密钥、桶名和终端地址。成功后再传大文件和正式数据。跨域只在浏览器直传失败、命令行成功时再改。

轮换时新密钥先上线，旧密钥后撤销。撤销前确认没有遗漏的环境。

管辖区和计费以官方页面为准。线路只解决仪表盘和上传过程能不能走完，不改变桶建在哪里。

团队里每人不要共用一把永久密钥。离职或泄露时，单独撤销那一把，而不是重置整个账号。

临场再核对

小文件成功之后再谈大文件。大文件中断时，先看工具是否支持从断点继续，不支持就重传这一份，不要把半截对象留在桶里当正式文件。半截文件的大小对不上，下载的人会以为链接坏了。公开读取和列出对象不是同一权限。链接能下到单个文件，不代表别人可以浏览整个桶。只打开你需要的那一项。浏览器直传要带上允许的来源、方法和请求头。少写一项，浏览器失败而命令行仍成功。改完规则要刷新设置页，确认已经保存，而不是只停在编辑框。账户里如果有多个成员，密钥记在谁的名下。离职或交接时撤销这一把，并让对方用新密钥再传一次小文件。日志里若能看到拒绝的原因，按原因改权限，不要同时改管辖区、桶名和密钥。管辖区一旦建错，正确做法是新建桶再迁移，不是换一条线路。迁移时先复制，核对数量和抽查内容，再改线上地址，最后才删旧桶。删早了，线上会指向空地址。命令行里的配置文件和部署环境里的变量要一起改。只改部署、忘了自己笔记本上的配置，会出现你能传、线上不能传。反过来也一样。测试用的桶不要打开公共读取。测试文件里可能有内部路径。正式桶需要公共读取时，单独建规则，不要把测试桶的规则复制过去。对象名称里避免用会在不同系统里冲突的符号，上传成功但链接打不开时，先看名称是不是被转义了。生命周期规则会按你设的天数删除对象。设之前确认没有人把唯一副本只放在这个桶里。删除是按规则自动发生的，不是线路抖动。费用异常时导出用量，对照官方定价里的存储、操作和流出三项，不要把三项加成一个感觉上的数字去争辩。密钥只在创建时完整显示一次。关掉页面后再也看不到秘密，只能重新创建。创建前先准备好存放的地方。存放用密码管理器，不要用聊天记录。管理器同步失败时，至少还有创建当下的那一次复制。复制后用小文件验证，验证通过再关掉创建页。跨域规则按网站逐条加。需要两个网站上传时写两条来源，不要写成允许所有来源来图省事。允许所有来源会让任意网页都能按你的规则去请求。列表权限和生产写入分开两把密钥。只读的那把可以放在需要展示的环境，写入的那把只放在部署里。上传目录和对象名称在团队里约定好前缀，避免两个人传到同一名字互相覆盖。覆盖不会提示你本地还有旧文件。重要对象上传后立刻用另一个只读密钥下载核对大小。大小一致再告诉别人链接可用。不一致就重传这一份。

先对准桶再谈权限

R2 上传失败，先看仪表盘能否打开，再核对账户、桶、密钥和终端地址是否同一套。访问被拒绝优先查权限，不要先改跨域。

刺猬VPN采用 HTTPS+AES 加密传输，注册不需要邮箱和手机号。免费节点适合打开仪表盘，时长套餐在有效期内不限流量、不限速，适合大文件。客户端支持断线保护和智能分流。定价以官方条款为准，实际可用性取决于当前网络环境。