OSSClient初始化时endpoint与region必须严格匹配，如杭州地域region为oss-cn-hangzhou、endpoint为https://oss-cn-hangzhou.aliyuncs.com；需避免硬编码、优先用内网endpoint（同地域ECS）、显式设置ContentType和ACL，并通过环境变量加载临时凭证确保安全。
直接用 OSSClient 就行，Fiber 本身不提供对象存储封装，也不需要额外适配——它只是 HTTP 路由框架，OSS 的 SDK 是纯 Go 客户端，和 Fiber 完全解耦。
初始化 OSSClient 时 endpoint 和 region 必须匹配
阿里云 OSS 的 Endpoint 不是简单拼接 region 字符串就能对上的。比如华东1（杭州）的 region ID 是 oss-cn-hangzhou，对应 endpoint 是 https://oss-cn-hangzhou.aliyuncs.com；但华北2（北京）的 region ID 是 oss-cn-beijing，endpoint 却是 https://oss-cn-beijing.aliyuncs.com ——看着像，但不能靠猜。
容易踩的坑：
- 硬编码
Endpoint却填错地域，导致403 Forbidden或Connection refused - 用内网 endpoint（如
oss-cn-hangzhou-internal.aliyuncs.com）但服务没部署在同地域 ECS 上，连接超时 - 中国内地 Bucket 自 2025 年 3 月 20 日起，新用户默认禁止通过外网 endpoint 调用数据类 API，必须走 CNAME + HTTPS（控制台里要手动配置自定义域名并绑定 SSL 证书）
上传文件时别漏掉 ContentType 和 ACL
Go SDK 默认不自动推断 MIME 类型，PutObject 传的是字节流，OSS 不会帮你查扩展名。如果没显式设 ContentType，浏览器下载时可能无法正确识别类型（比如图片变成二进制流、PDF 打不开）。
ACL 同样关键：私有 Bucket 下默认上传的 Object 是私有的，即使 Bucket ACL 设为“公共读”，Object 级别权限仍继承 Bucket 默认值（即私有），除非你主动设置 oss.ACL(oss.ACLPublicRead)。
实操建议：
- 用
mime.TypeByExtension(filepath.Ext(filename))推断类型，fallback 到application/octet-stream - 上传时显式加
oss.ContentType(contentType)和oss.ACL(oss.ACLPublicRead)（仅当需直链访问） - 若走预签名 URL 下载，
ACL可保持私有，靠签名授权即可
Fiber 中处理 multipart 文件上传再转存 OSS
Fiber 的 c.MultipartForm() 返回的是标准 *multipart.Form，其中 File 是 map[string][]*multipart.FileHeader。注意：FileHeader 只是元信息，真正读取内容得用 header.Open() 拿到 io.ReadCloser。
常见错误：
- 直接把
header.Size当作文件长度传给PutObject，但实际上传可能被 Nginx 或负载均衡截断（尤其大文件） - 用
io.Copy把整个文件读进内存再传给 OSS，OOM 风险高（比如上传 500MB 视频） - 没设超时，大文件上传卡住导致 Fiber 连接堆积
推荐做法：
- 用
ctx.SetBodyStream()或分块读取 +PutObject的io.Reader接口直传，避免中间缓存 - 给 OSS client 设置
Timeout（如ConnectTimeout: 10 * time.Second） - 前端配合使用
XMLHttpRequest分片上传（oss.PutObject不支持断点续传，大文件得用MultipartUpload）
签名 URL 生成和有效期控制
OSS Go SDK 提供 SignURL 方法，但要注意：生成的 URL 是带 Expires 参数的临时链接，过期后 403。Fiber 路由返回时，别把签名 URL 当成永久地址缓存或硬编码。
关键细节：
-
SignURL第三个参数是过期秒数，最大支持 64800（18 小时），超限会 panic - 如果 Bucket 开启了版本控制，
SignURL默认签最新 version，要指定 version 需手动拼?versionId=xxx - 签名 URL 不校验 Referer，防盗链得靠 Bucket 的 Referer 白名单配置，不是靠签名本身
复杂点在于：签名密钥依赖 AccessKeySecret，而生产环境严禁在代码里写死 AKSK。Fiber 应用该从环境变量或 Secret Manager 加载 STS 临时凭证，再初始化 OSSClient ——否则一旦泄露，等于交出整个 Bucket 控制权。
