不能直接用固定secretid/secretkey调用putobject，因腾讯云cos生产环境强制要求sts临时凭证：硬编码密钥会导致权限失控、泄露风险高，且触发authorizationfailed或invalidtoken错误；必须通过后端sts接口获取临时凭证（tmpsecretid/tmpsecretkey/token）并初始化cos.client。
直接用 cos-go-sdk-v5 + echo.Context 的 MultipartForm() 就能完成上传，不需要额外中间件或封装框架 —— 但必须手动处理临时密钥、Key 拼接和错误透传，否则会卡在签名失败或 403。
为什么不能直接用固定 SecretId/SecretKey 调用 PutObject
腾讯云 COS 强制要求生产环境使用临时凭证（STS Token），尤其当上传来自前端直传或非可信服务时。硬编码 SecretId/SecretKey 会导致：
• 后端服务重启后密钥泄露风险陡增
• 无法按路径限制权限（比如只允许上传到 user-uploads/123/）
• 调用 PutObject 时返回 AuthorizationFailed 或 InvalidToken 错误
• 实际开发中，90% 的 403 都源于没传 Token 或 Region 和 Bucket 所在地域不一致
正确做法是：先调用 STS 服务获取临时凭证（credentials + token），再用它初始化 cos.Client。临时凭证需从你自己的后端接口下发，不能由前端直接请求 STS。
echo.Context 中怎么读文件并传给 cos.Client.PutObject
别用 c.FormValue 拿文件 —— 它只读文本字段。必须用 c.MultipartForm() 获取 *multipart.Form，再从 form.File 里取 *multipart.FileHeader：
-
file, err := fileHeader.Open()后得到io.Reader，可直接传给PutObject的Body参数 -
Key不能写死，要拼接：从请求参数或 JWT 中提取用户 ID，再组合成类似user-uploads/789/avatar.jpg的路径 -
Bucket和Region必须和临时凭证申请时填的一致，例如申请时填ap-beijing，代码里就不能写accelerate（后者是接入点，不是 Region） - 若上传大文件（>5MB），应改用分块上传
InitiateMultipartUpload+UploadPart，否则可能触发超时或内存溢出
上传时怎么带图片处理参数（如缩略图、格式转换）
COS 支持上传时自动处理图片，但 Go SDK 不像 Java 那样有 setPicOperations 方法 —— 必须把处理指令塞进 X-Cos-Pic-Operations Header：
picOps := `{"is_pic_info":1,"rules":[{"fileid":"thumb.jpg","rule":"imageView2/format/jpg/width/200"}]}`
req, _ := http.NewRequest("PUT", uploadURL, body)
req.Header.Set("X-Cos-Pic-Operations", picOps)
注意：
• 这个 Header 只对图片类型生效（Content-Type 是 image/*）
• uploadURL 必须是预签名 URL（即带 sign 参数的完整地址），不能是普通 PutObject 调用
• 如果用的是 SDK 的 PutObject 方法，Header 会被忽略，必须用原生 HTTP Client 发起 PUT 请求
容易被忽略的 Region 和 Endpoint 匹配问题
很多人把 Region 设为 ap-guangzhou，却用 https://cos.ap-beijing.myqcloud.com 当 Endpoint —— 这会导致签名计算失败。真实规则是：
• Region 决定签名用的地域标识（影响 HMAC 签名字符串）
• Endpoint 决定请求发给哪个接入点（可以是 accelerate，但签名仍按实际 Region 算）
• 正确组合示例：Region: ap-shanghai + Endpoint: https://cos.accelerate.myqcloud.com
• 错误组合：Region: ap-shanghai + Endpoint: https://cos.ap-beijing.myqcloud.com（签名错，403）
