常见错误对照
连接失败时先看这张表：它按服务商列出最常见的错误码与处理办法。
按错误码在本页查找对应的那一行。
先确认这三件事
桶名完整（腾讯云 COS 的桶名末尾带 -APPID，要连后缀一起）。
端点是服务端点，不是控制台给的「访问域名」；端点只写主机名，不带桶名与路径。
密钥只授权了这个桶（不要用主账号 / 根账号密钥）。
错误码与处理
| 服务商 | 现象 / 错误码 | 通常是什么 | 怎么办 |
|---|---|---|---|
| 通用 | 403 AccessDenied | 密钥没权限，或策略里的桶名写错了 | 回对应服务商的教程页看「最小权限策略」那一节 |
| 通用 | SignatureDoesNotMatch / InvalidAccessKeyId | 密钥复制错、缺字符，或 Secret 只显示一次没存下来 | 重新生成一对密钥，整段复制 |
| 通用 | 测试连接并保存通过，但上传失败 | 只给了读权限（列出对象、读对象） | 补上写入与删除对象的权限 |
| 通用 | 连不上或超时，没有错误码 | Endpoint 或地点不对 | 核对 App 里的地点与 Endpoint；确认端点里没有桶名或路径 |
| 阿里云 OSS | PublicEndpointForbidden | 桶在中国大陆，账号是 2025-03-20 之后开通的 OSS，却用了默认外网域名 | 把已备案的自定义域名填进 App 的 HTTPS Endpoint（走「中国大陆 + 备案全套」；绑定要点见该路线页尾「其他情况」），或把桶放到海外地域 |
| 阿里云 OSS | 绑定自定义域名后连不上 | DNS 的 CNAME 还没生效，或证书不对 | 等 DNS 生效（通常几分钟）；确认证书与域名匹配，并确认该域名已填在 App 的 HTTPS Endpoint 里（应用会按自定义域名访问） |
| 腾讯云 COS | 403 AccessDenied（密钥看起来是对的） | 桶名没连 -APPID 后缀一起复制 | 回控制台复制完整桶名（形如 my-photos-1234567890） |
| 腾讯云 COS | 端点填了控制台的「访问域名」 | 那个地址里已经带着桶名，是给浏览器用的 | 端点改成 https://cos.<地域>.myqcloud.com，桶名单独填一格 |
| 腾讯云 COS | SecretKey 当时没存下来 | SecretKey 只在创建子用户时显示一次 | 在 CAM 给这个子用户重新生成一对密钥，孤云里两个值一起换 |
| AWS S3 | AuthorizationHeaderMalformed / PermanentRedirect（301） | 端点里的区域与桶实际所在区域不一致 | 在 App 里把「地点」改成桶实际所在的地点，Endpoint 会自动跟着更新 |
| AWS S3 | InvalidAccessKeyId / SignatureDoesNotMatch，密钥看着没错 | 账号与桶不在同一个分区（全球区 aws 与中国区 aws-cn 不通用） | 确认桶和账号在同一分区：中国区的桶要用中国区账号的密钥 |
| AWS S3 | 403 AccessDenied，策略也建了 | 策略里两处 ARN 的桶名写错，或桶级 ARN 多了斜杠（桶级是 arn:aws:s3:::桶名，对象级才是 …/桶名/*） | 照 AWS S3 教程页里的策略原文改：桶级不带斜杠，对象级带 /* |
| Backblaze B2 | InvalidAccessKeyId / SignatureDoesNotMatch，但密钥没错 | keyID 抄少了字符 —— B2 的 keyID 固定 25 位 | 回 Application Keys 用复制按钮整段复制 keyID（别手抄）；必要时重新生成一把应用密钥 |
| Backblaze B2 | 403 AccessDenied，用的是主密钥 | B2 的 S3 兼容 API 不接受 master application key | 改用限定到单个桶的 Application Key（教程第 3 步） |
表里没有的错误码：对照服务商自己的错误码文档，或在孤云 App 里反馈。