火山引擎对象存储访问403怎么解决？

火山引擎TOS返回403错误，本质上意味着请求被系统明确拒绝了。究其根源，通常逃不出这几类情况：签名不合法（比如AK/SK填错、时间偏移超过±15分钟，或者Endpoint、Region搞错了）、桶策略或IAM策略里设了显式的Deny、跨账号授权没配好，亦或是触发了Referer/IP的黑白名单拦截，当然，STS临时凭证过期也是常见原因。面对这种情况，逐一排查才是正解。

火山引擎对象存储访问返回403错误，说明请求被服务端明确拒绝，通常不是网络不通或超时问题，而是权限、签名、策略或桶配置层面的硬性拦截。这类错误不会因重试而自动恢复，必须定位并修正具体拒绝原因。

确认是否为签名验证失败

403中最常见原因是请求签名不合法：AK/SK错误、时间偏移过大（默认允许±15分钟）、Endpoint拼写错误或Region不匹配。用curl手动构造一个最简HEAD请求验证：

curl -I -X HEAD "https://your-bucket-name.tos-cn-beijing.volces.com/" -H "Authorization: AWS4-HMAC-SHA256 Credential=YOUR_AK/20260805/cn-beijing/tos/aws4_request, SignedHeaders=host;x-amz-date, Signature=xxx"

若返回403 Forbidden且x-amz-request-id头存在，说明签名流程已触达服务端但被拒；若直接返回400 Bad Request或连接失败，则问题在客户端构造环节。

检查桶策略与IAM权限

方法一：通过控制台快速排查

登录火山引擎控制台 → 进入TOS → 找到对应Bucket → 点击「权限管理」→ 查看「存储桶策略」和「用户策略」是否显式Deny当前请求来源（如IP、Referer、UserAgent或特定Action）。特别注意策略中"Effect": "Deny"语句是否无条件生效。

方法二：用SDK调用GetBucketPolicy验证

运行以下Go代码片段（需替换AK/SK/endpoint/bucketName）：

client, _ := tos.NewClientV2(endpoint, tos.WithCredentials(tos.NewStaticCredentials(ak, sk)), tos.WithRegion(region))
policy, err := client.GetBucketPolicy(context.Background(), &tos.GetBucketPolicyInput{Bucket: bucketName})

这通常意味着该桶还没有配置策略，问题多半不在桶本身，而是在IAM角色权限不足，或者跨账号授权没有补全；如果接口已经返回了策略内容，那就别只看个大概，需要逐行过一遍：重点确认Principal字段里是否包含当前调用身份，以及Action是否真正覆盖了tos:GetObject这类目标操作。

验证跨账号访问配置

第一步：确认源桶所属账号已授予目标账号访问权限

在源桶「权限管理」→「跨账号授权」中，添加目标账号UID，并勾选所需权限（如tos:GetObject、tos:ListBucket）。注意：仅添加UID不够，还需在目标账号的IAM策略中声明允许使用该UID访问源桶。

第二步：目标账号需在其IAM策略中显式声明跨账号资源ARN

策略语句中"Resource"字段必须写成"arn:volc:tos:cn-beijing:SOURCE_ACCOUNT_UID:bucket-name/*"格式，不能用通配符*代替完整ARN。漏掉arn:volc:前缀或写错区域会导致策略不生效。

第三步：确认STS临时凭证未过期

若使用SecurityTokenService获取临时凭证，检查Expiration时间戳是否早于当前时间。过期后所有请求均返回403，且错误码为InvalidToken而非AccessDenied。

排查Referer防盗链与IP黑白名单

进入Bucket「基础设置」→「防盗链设置」，查看是否启用Referer白名单。若启用，当前请求Header中Referer值必须精确匹配白名单条目（支持*通配，但http://example.com不匹配https://example.com）。

同页面检查「IP访问限制」：若开启IP白名单，请求来源IP必须落在列表中；若开启黑名单，请求IP不能出现在列表里。注意云服务器ECS默认使用内网IP访问TOS，若白名单只填了公网IP段，会导致403。

这一步操作起来很简单，直接在控制台开关旁点「编辑」就能看到实时生效的规则。