对象存储跨域配置 CORS

浏览器直传对象存储时受同源策略限制，需要为桶配置 CORS 规则：允许的来源、方法与头信息，并暴露必要的响应头。

常见字段	AllowedOrigin、AllowedMethod、AllowedHeader、ExposeHeader、MaxAge
场景	浏览器直传（PUT/POST）、前端读取私有签名链接
安全	来源不要长期写成 *，按业务域名收窄

预检请求（OPTIONS）失败的常见原因之一是未允许自定义头（如 x-cos-security-token / x-oss-security-token）。

易错点

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌