前端把上传或下载请求直连对象存储，开发者工具里 GET 已返回 200，控制台仍报跨域错误；带凭证时，预检失败更像“请求成功却拿不到数据”。同一地址接入 CDN 或换成预签名链接后时好时坏。根因不是有无响应，而是预检、缓存和签名时效被混为一谈。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：yumiproxy（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
第一节：预检成功不等于跨域成功
浏览器遇到非简单方法或自定义请求头时，通常先发 OPTIONS。预检只询问来源、方法和请求头能否使用，不下载对象；返回 200 或 204 都可，关键是响应头完整。Access-Control-Max-Age 设得过长，规则变更后旧结果也可能继续被复用。
服务端至少返回 Access-Control-Allow-Origin、Access-Control-Allow-Methods 和 Access-Control-Allow-Headers。来源须按协议、主机、端口精确匹配。带 Cookie 或 Authorization 时，允许来源不能用通配符 *，还须返回 Access-Control-Allow-Credentials: true；不使用凭证才适合使用 *。
允许来源列表要覆盖开发端口，如 http://localhost:3000。Origin 不含路径，别多写斜杠或把页面 URL 当作 Origin。白名单外的来源不要回显；响应应带 Vary: Origin，避免 CDN 把一个站点的允许头复用给另一个站点。
CORS 只决定脚本能否读取响应，不等于存储权限已放行。跨域头齐全但桶策略、IAM 角色或预签名 URL 缺少读取权限，真实 GET 仍会返回 403；策略放行而允许来源不匹配，浏览器也会拦截内容，两条链必须分别验收。
第二节：沿缓存与时间线定位假故障
先在网络面板筛选 OPTIONS 与真实 GET，核对预检的 Origin、方法、请求头，再检查实际响应的允许来源、凭证和请求头规则。控制台提示缺少允许来源，就查响应头；出现权限或签名 403，则查权限与有效期，别反复修改 CORS。
缓存会让故障显得随机。CDN 缓存键若只有路径，忽略 Origin、方法或签名参数，就可能把某站点的响应头、旧签名和 200 状态共享给其他请求。允许响应头应按 Origin 区分缓存并设置 Vary: Origin；公开与私有对象则用 Cache-Control 设置不同新鲜度和隔离策略，私有签名响应不应被长期缓存。
预签名链接要检查签发时和到达节点时是否过期。签名包含签发时间、过期秒数及参与校验的方法、路径或请求头；排队、CDN 回源和跨地域链路都会消耗窗口。记录客户端 Date、服务端 Date、签名时间与响应 Age，核对节点时钟。排障可用唯一查询参数绕过旧缓存，正式方案应缩短有效期并按用户隔离缓存。
落地时按五项拆开验收：CORS预检机制、允许来源列表、跨域凭证策略、签名链接时效和CDN缓存键设计。先列精确 Origin，只开放所需方法和请求头；再确认桶策略或角色具备最小读取权限，并按是否携带凭证配置；最后用无缓存请求验证 GET，再恢复 CDN 检查不同来源与过期时间点。可用 ServLlama 汇总响应头、节点时间和错误码。验收不能只看 2xx，还要确认脚本可读响应，权限不足时收到明确错误。
预检、来源与跨域凭证
当请求使用 Authorization、自定义头，或方法不属于简单请求时，浏览器会先发送 CORS 预检机制的 OPTIONS 请求。它会携带 Origin、Access-Control-Request-Method 和 Access-Control-Request-Headers；存储或网关必须返回匹配的方法、请求头与来源。OPTIONS 若被 CDN 错误缓存，或只放行实际请求，就会出现“配置正确但浏览器仍失败”。预检结果可按 Access-Control-Max-Age 短期缓存，减少重复 OPTIONS。
允许来源列表要按协议、主机、端口精确匹配，末尾斜杠也不能混用。无凭证请求可使用通配来源；携带 Cookie、Authorization 或客户端证书时，跨域凭证策略要求 Access-Control-Allow-Credentials 为 true，此时来源不能是通配符，必须回显可信 Origin，并覆盖所需方法、请求头和 ExposeHeaders。CORS 只限制浏览器读取，不等于鉴权，来源名单也不能由请求参数临时决定。
签名链接与 CDN 缓存
签名链接时效由签名、权限和过期时间共同决定，应在发起请求前生成，并只覆盖预期操作。过期后服务端必须返回 403，前端倒计时不能代替校验。URL 可能进入日志、Referer 或聊天记录，应按临时凭据处理；缩短有效期只能降低风险，不能让已泄露链接失效。预检通过也不代表查询参数中的签名有效，两套校验都要保留。
CDN 缓存键设计要区分公开与私有内容。公开对象可按路径和影响响应体的参数归一化；签名对象应禁用共享缓存，或由边缘先验签、再访问缓存。若缓存键删除签名参数，后端仍须在命中前鉴权，否则旧签名或无签名 URL 可能读取缓存。把 Origin 和 CORS 响应头加入共享缓存键会制造低命中副本；更稳妥的是缓存对象实体，由边缘生成 CORS 头，并让 OPTIONS 绕过对象缓存。
上线前执行这份检查清单：①开发者工具确认预检状态码、允许方法及请求头；②核对来源的协议、域名、端口，确认凭证模式未与通配来源混用；③分别测试无 Cookie、携带 Cookie 和 Authorization 的读写；④验证签名链接的权限、过期 403 与日志脱敏；⑤检查缓存键、TTL、命中前鉴权顺序及 OPTIONS 规则；⑥用无签名、过期签名、错误来源和缓存命中场景回归，并监控预检失败率、403 与缓存命中率。测试应同时保存请求和响应证据，避免只凭页面提示判断。
喜欢 
顶
难过
囧
围观
无聊
