常见错误对照
连接失败时先看这张表：它按服务商列出最常见的错误码与处理办法。
从孤云点过来时带着错误码的话，对应的那一行会自动高亮。
先确认这三件事
桶名完整（腾讯云 COS 的桶名末尾带 -APPID，要连后缀一起）。
端点是服务端点，不是控制台给的「访问域名」；端点只写主机名，不带桶名与路径。
密钥只授权了这个桶（不要用主账号 / 根账号密钥）。
错误码与处理
| 服务商 | 现象 / 错误码 | 通常是什么 | 怎么办 |
|---|---|---|---|
| 通用 | 403 AccessDenied | 密钥没权限，或策略里的桶名写错了 | 回对应服务商的教程页看「最小权限策略」那一节 |
| 通用 | SignatureDoesNotMatch / InvalidAccessKeyId | 密钥复制错、缺字符，或 Secret 只显示一次没存下来 | 重新生成一对密钥，整段复制 |
| 通用 | 测试连接并保存通过，但上传失败 | 只给了读权限（列出桶、读对象） | 补上写入与删除对象的权限 |
| 通用 | 连不上或超时，没有错误码 | 端点或地址方式不对 | 按教程页给的端点规则填；确认端点里没有桶名或路径 |
| 阿里云 OSS | PublicEndpointForbidden | 桶在中国大陆，账号是 2025-03-20 之后开通的 OSS，却用了默认外网域名 | 改用已备案的自定义域名（走「中国大陆 + 备案全套」），或把桶放到海外地域 |
| 阿里云 OSS | 绑定自定义域名后连不上 | DNS 的 CNAME 还没生效，或证书不对 | 等 DNS 生效（通常几分钟）；确认证书与域名匹配，且地址方式选了「自定义域名 CNAME」 |
| 腾讯云 COS | 403 AccessDenied（密钥看起来是对的） | 桶名没连 -APPID 后缀一起复制 | 回控制台复制完整桶名（形如 my-photos-1234567890） |
| 腾讯云 COS | 端点填了控制台的「访问域名」 | 那个地址里已经带着桶名，是给浏览器用的 | 端点改成 https://cos.<地域>.myqcloud.com，桶名单独填一格 |
| 腾讯云 COS | SecretKey 当时没存下来 | SecretKey 只在创建子用户时显示一次 | 在 CAM 给这个子用户重新生成一对密钥，孤云里两个值一起换 |
| AWS S3 | AuthorizationHeaderMalformed / PermanentRedirect（301） | 端点里的区域与桶实际所在区域不一致 | 端点改成桶所在区域的 https://s3.<区域>.amazonaws.com，区域那一格也改成同一个 |
| AWS S3 | InvalidAccessKeyId / SignatureDoesNotMatch，密钥看着没错 | 账号与桶不在同一个分区（全球区 aws 与中国区 aws-cn 不通用） | 确认桶和账号在同一分区：中国区的桶要用中国区账号的密钥 |
| AWS S3 | 403 AccessDenied，策略也建了 | 策略里两处 ARN 的桶名写错，或桶级 ARN 多了斜杠（桶级是 arn:aws:s3:::桶名，对象级才是 …/桶名/*） | 照 AWS S3 教程页里的策略原文改：桶级不带斜杠，对象级带 /* |
表里没有的错误码：对照服务商自己的错误码文档，或在孤云 App 里反馈。