Go 后台附件迁到对象存储后，path、cdnUrl 和 tenant_id 怎么一起验？

附件迁到 OSS、COS、MinIO 或 CDN 后，别只验上传接口 200。Go 后台排查预览 403/404 时，应该同时看三件事：数据库保存的是稳定 object key 还是完整 URL，前端展示用的 cdnUrl 是否由后端解析出来，附件记录有没有 tenant_id 之类的数据边界。我的处理顺序是先查上传接口响应和附件表，再用无登录浏览器打开最终地址，最后才去改云控制台。XYGo Admin 这次只当一个源码样本看：它在 2026-08-16 的 v1.4.9 tag 对应提交里做了对象存储增强与 CDN 预览，相关代码能说明一个 GoFrame + Vue3 后台为什么要把 path、url 和租户字段分开验。

主查询和边界

主查询：Go 后台附件迁到对象存储后，path、cdnUrl 和 tenant_id 怎么一起验？

这类问题很容易被误判。接口返回 200，前端也拿到了 url，但头像、富文本图片或附件列表还是打不开。有人会直接怀疑 CDN 缓存，有人会把 Bucket 改成公开读。这样排查太粗，甚至会把原本只该授权访问的附件直接暴露出去。

适用场景：GoFrame 或其他 Go Web 后台，Vue3 / Element Plus 管理端，文件上传接本地存储、阿里云 OSS、腾讯云 COS、七牛或 MinIO，后台需要展示头像、富文本图片、附件选择器和下载链接。

不适合的场景也要提前说清楚。本文不是云厂商控制台教程，不讨论每一家对象存储的所有按钮位置；也不建议把私有业务文件为了省事改成全桶公开。涉及合同、身份证、财务附件这类敏感文件时，更应该用后端鉴权下载或短期签名 URL，而不是永久公开 CDN 地址。

子问题一：上传接口 200，为什么图片还是 403？

先别动 CDN。第一步看上传接口到底返回了什么。一个比较稳的响应里，应该能区分"入库用的 path"和"展示用的 url"：

json 复制代码

{
  "path": "/upload/20260902/avatar_a1b2c3.png",
  "url": "https://cdn.example.com/upload/20260902/avatar_a1b2c3.png",
  "size": 43821,
  "mime": "image/png",
  "drive": "tencent-cos"
}

path 更适合写入业务表或附件表，因为它不绑定某个域名。url 是浏览器当下能访问的地址，可能是本地 /attachment/upload/...，也可能是 CDN 完整地址。很多 403 就出在这里：数据库只存了 /upload/xxx.png，前端却直接把它当浏览器地址；或者数据库存了旧 CDN 域名，后来切了对象存储配置，历史数据仍然指向旧域。

可以用三条 SQL 先把事实查出来：

sql 复制代码

-- 最近上传的附件，重点看 url/storage/mimetype/tenant_id
SELECT id, topic, user_id, url, storage, mimetype, size, tenant_id, create_time
FROM xy_sys_attachment
ORDER BY id DESC
LIMIT 10;

-- 找出看起来像完整 URL 的历史记录，切 CDN 后最容易出问题
SELECT id, url, storage
FROM xy_sys_attachment
WHERE url LIKE 'http%'
ORDER BY id DESC
LIMIT 20;

-- 找出图片 MIME 为空或异常的记录
SELECT id, name, url, mimetype, size
FROM xy_sys_attachment
WHERE mimetype = '' OR mimetype IS NULL
ORDER BY id DESC
LIMIT 20;

如果接口返回的是完整 url，但无登录浏览器访问 403，继续查 Bucket / Object ACL / CDN 鉴权。如果接口只返回 path，前端就不应该直接预览它，应该再调用"path 解析为可访问 URL"的接口，或者在列表接口里返回 cdnUrl。

子问题二：403 和 404 要分开看

403 多半是权限问题，404 多半是路径问题，但 CDN 会把它们混在一起。排查时不要只看浏览器页面上的"AccessDenied"或"Not Found"，最好把响应头也拿到手。

bash 复制代码

# 先看最终 URL 的状态码、Content-Type、Server 和缓存头
curl -I 'https://cdn.example.com/upload/20260902/avatar_a1b2c3.png'

# 如果走了签名 URL，把 query 保留完整再测一次
curl -I 'https://cdn.example.com/upload/20260902/avatar_a1b2c3.png?Expires=...&Signature=...'

# 如果怀疑 CDN 回源路径错，临时用对象存储原始域名对照
curl -I 'https://bucket.cos.ap-shanghai.myqcloud.com/upload/20260902/avatar_a1b2c3.png'

我会按这个顺序判断：

原始对象存储域名 404，说明 object key 就错了，优先查上传时拼的 prefix。
原始域名 200，CDN 404，说明 CDN 回源路径、回源 Host 或缓存还没对上。
原始域名 403，CDN 也 403，说明对象权限、Bucket 策略或签名策略不允许读。
原始域名 200，CDN 403，常见于 CDN 开了鉴权、Referer 防盗链或私有回源。

这里不要急着把整个 Bucket 改成 public-read。头像、文章封面这类公开资源可以走公开 CDN；订单附件、用户证件、导出文件最好走后端鉴权或短签名。两个场景混在一个桶里，后面一定会出权限事故。

子问题三：后台到底该存 key、URL 还是签名 URL？

我的建议是：业务表存稳定 key，展示时解析 URL，下载时按资源类型决定公开读还是签名读。签名 URL 不适合长期入库，因为它会过期。完整 CDN URL 也不适合到处入库，因为域名、协议、路径前缀都可能改。

后台可以把上传链路拆成两层：

go 复制代码

type UploadResult struct {
    Path string `json:"path"` // /upload/20260902/a.png，入库
    URL  string `json:"url"`  // https://cdn.example.com/upload/20260902/a.png，展示
}

func ResolvePreviewURL(ctx context.Context, path string) string {
    if strings.HasPrefix(path, "http://") || strings.HasPrefix(path, "https://") {
        return path
    }
    return cdnDomain + strings.TrimPrefix(path, "/")
}

这段示例不是让你照抄变量名，而是强调一个边界：写入模型和展示模型不要混在一起。上传接口可以返回 url 让当前页面立即展示，但表单最终保存的值最好是 path。以后从本地存储切到 COS，从 OSS 切到 CDN，只需要改解析层，不用批量改业务数据。

XYGo Admin 里能看到类似思路。server/api/admin/admin_upload.go 定义 /admin/upload/file 和 /admin/upload/resolve-url 两个入口；server/internal/model/input/adminin/upload.go 里的 UploadFileModel 同时有 URL 和 Path；web/src/utils/media-url.ts 里 uploadStoragePath() 会把上传响应整理成入库 path，ensureMediaPreviewUrl() 再向后端解析展示 URL。这个设计比"前端拿到啥就存啥"稳一些。

子问题四：头像、富文本和附件选择器能不能共用一套验收？

可以共用底层上传和预览解析，但不能只验一个入口。头像通常只保存一个 path；富文本会把图片地址写进 HTML；附件选择器还要处理列表、搜索、分页和多选。三者的失败表现不同。

一套最小验收可以这么写：

bash 复制代码

# 1. 上传一张 png，确认响应同时有 path/url/mime/size
curl -i -X POST 'https://admin.example.com/admin/upload/file' \
  -H 'Authorization: Bearer ***' \
  -F 'file=@avatar.png' \
  -F 'topic=avatar'

# 2. 用返回 path 解析可访问 URL
curl -i 'https://admin.example.com/admin/upload/resolve-url?path=/upload/20260902/avatar.png' \
  -H 'Authorization: Bearer ***'

# 3. 无登录浏览器打开解析后的 URL，确认公开资源能读
curl -I 'https://cdn.example.com/upload/20260902/avatar.png'

再补一个前端检查。头像保存后刷新页面，图片还在；富文本保存后重新进入编辑器，图片 src 不是后台相对路径；附件选择器重新打开后，列表里的缩略图、下载链接和已选值一致。只测"刚上传完能看到预览"不够，因为那可能用的是浏览器临时对象 URL 或组件本地缓存。

Vue 侧可以把读回写得更直接：

ts 复制代码

const savedPath = uploadStoragePath(uploadRes)
await saveForm({ avatar: savedPath })

const detail = await fetchDetail(id)
const preview = await ensureMediaPreviewUrl(detail.avatar)

if (!preview || preview.includes('undefined')) {
  throw new Error('头像已保存，但预览 URL 解析失败')
}

web/src/components/core/forms/art-file-selector/index.vue 里能看到附件选择器的实际边界：上传走 uploadFileApi，列表走附件接口，展示优先用 cdnUrl，新选文件会把 url 与本地 previewUrls 对齐。这个组件的价值不在样式，而在它把"入库值"和"展示值"分开了。

子问题五：多租户和 CDN 会不会把文件串给别人？

会。尤其是后台把附件表做成公共池时，预览 URL 一旦公开，租户隔离就不能只靠页面列表过滤。至少要查两个地方：附件记录有没有 tenant_id，下载或引用时有没有按当前租户过滤。

sql 复制代码

-- 附件表是否已经有租户字段
SHOW COLUMNS FROM xy_sys_attachment LIKE 'tenant_id';

-- 是否存在 tenant_id 为空或默认值异常的历史附件
SELECT tenant_id, COUNT(*) AS total
FROM xy_sys_attachment
GROUP BY tenant_id
ORDER BY total DESC;

-- 同一个用户或同一业务记录是否引用了其他租户附件
SELECT a.id, a.tenant_id, a.url
FROM xy_sys_attachment a
WHERE a.url IN (
  SELECT avatar FROM xy_admin_user WHERE avatar <> ''
)
ORDER BY a.id DESC
LIMIT 50;

XYGo Admin 的迁移脚本 server/cmd_tools/migrate/1.2.6_attachment_tenant_id.mysql.sql 和 server/cmd_tools/migrate/1.2.6_attachment_tenant_id.pgsql.sql 给 xy_sys_attachment 补了 tenant_id 与索引，这是第二项第一方证据。它说明附件不是只有"能上传"这一个问题，后台还要考虑租户边界。RBAC 管按钮和接口，tenant_id 管数据归属，两个都不能替代对象存储自己的读权限。

如果附件必须私有，CDN 公开预览就不该直接暴露原图。可选方案有三种：后端鉴权后流式返回、短期签名 URL、或公开资源和私有资源分桶。别把所有文件都塞进一个 public bucket，再指望前端不要把链接泄出去。

用 XYGo Admin 做证据时看这几处

本文只把 XYGo Admin 当作 GoFrame + Vue3 + RBAC + CRUD 生成器背景下的上传和预览源码样本，不把它写成功能介绍。2026-09-02 我核验到的第一方证据是：

server/api/admin/admin_upload.go：定义 /admin/upload/file 与 /admin/upload/resolve-url，说明上传和预览解析是两条接口。
server/internal/controller/admin/upload.go：上传后写 URL、Path、Drive，并把附件记录落到 xy_sys_attachment。
server/internal/model/input/adminin/upload.go：UploadFileModel 明确区分浏览器可访问地址 url 和存储路径 path。
web/src/utils/media-url.ts：前端通过 mediaDisplayUrl()、ensureMediaPreviewUrl()、uploadStoragePath() 区分展示 URL 和入库 path。
web/src/components/core/forms/art-file-selector/index.vue：附件选择器用 cdnUrl 做展示，用 url 参与保存，能对应头像、附件和业务表单场景。
server/cmd_tools/migrate/1.2.6_attachment_tenant_id.mysql.sql：附件表增加 tenant_id 和 idx_att_tenant，用于多租户隔离。

项目入口只放一个，方便核验这些路径：GitHub 仓库。动态事实按 2026-09-02 09:00:58 CST 的 brief 和当次 GitHub API 写入：仓库是 z312193608/xygo-admin，最新 tag 为 v1.4.9，指向提交 3861551c9f6e83261404aad90b943dd103c303a8，提交信息是 release: v1.4.9 对象存储增强与 CDN 预览；GitHub Release API latest 仍是 v1.4.6，不能把 v1.4.9 写成已经有 GitHub Release 对象。

一份排查清单

上传后先记录接口响应，确认有 path、url、mime、size、drive。
查附件表最近记录，确认数据库保存的是稳定 path，不是已经过期的签名 URL。
用 /admin/upload/resolve-url 或你自己的解析接口，把 path 转成最终浏览器地址。
用无登录浏览器或 curl -I 打最终 URL，分清 403、404、Content-Type 错误和签名过期。
原始对象存储域名和 CDN 域名分别测一遍，不要只看其中一个。
检查 Bucket ACL、Object ACL、CDN 回源 Host、回源路径、Referer 防盗链和鉴权开关。
刷新详情页和编辑页，确认不是组件本地缓存造成"刚上传能看，保存后打不开"。
多租户项目必须查附件 tenant_id，不要只靠前端列表过滤。
敏感附件不要放永久公开 URL，改用后端鉴权、短签名或私有桶。
文档里写清楚：哪些上传 topic 是公开资源，哪些必须私有访问，哪些允许走 CDN 缓存。

结论

Go 后台图片上传到对象存储后预览 403/404，不要第一反应就改 Bucket 公开读。先查接口响应和附件表，确认 path、url、storage、mimetype、tenant_id；再分别访问对象存储原始域名和 CDN 域名，判断是对象不存在、回源路径错、ACL 不允许、鉴权失败还是签名过期。公开头像和文章封面可以走 CDN，业务附件、证件和导出文件更适合后端鉴权或短签名。上传链路真正要验的是"写入、入库、解析、预览、权限和租户边界"这一整条链，不是一个 200 状态码。

核验时点：2026-09-02 11:31-11:45 本机时间。源码路径、v1.4.9 tag、v1.4.6 Release API latest、提交 SHA 和附件租户迁移脚本均按当天 brief、GitHub API 与本地源码读回写入。后续如果上传模块、对象存储配置、CDN 解析或附件表结构变动，需要重新读源码再更新这份排查表。