上传成功的图片在后台能看，前台打开返回拒绝访问。碰到这种情况，我一般先确认改动有没有真的生效。
原因不复杂，存储桶为私有读，前台直链没有签名，被策略拒绝，而后台带着临时凭证所以能看。
「对象存储访问权限」这类改动最怕改一半，回滚脚本先准备好，再动生产。改完顺手把文档补一句，省得下次自己重新推一遍。
"Principal": "*", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::bucket/img/*"
监控和日志的时间要对上，时区不一致会多绕很大一圈。临时改动用注释写上日期和原因，过两周自己都记不清为什么这么写。
动手前把原文件复制一份带时间戳，出问题立刻换回去，比现场分析快得多。一次只改一处，改完立刻验证，几个改动叠在一起，出问题就说不清是谁导致的。
先做最小复现，能稳定跑出来的问题，排查成本会低一个数量级。
具体做法是，改为公共读或使用签名链接；限制仅图片类型可读；确认跨域配置。
最后用这个标准收尾，图片链接可直接打开，其他文件仍受保护。