移动端完美头像上传cdn失败的网络与权限排查实用方法

1. 描述问题：记录出错时间、业务流程（浏览器/APP 上传）、错误码（如 403/401/400/502/504）和用户网络类型（Wi-Fi/4G/5G）。准备好受影响设备、可复现账号、失败的请求示例和控制台/日志截图。

2. 必备信息包括：失败请求的完整 HTTP 请求/响应（头部与 Body）、浏览器/APP 控制台日志、后端接收日志、CDN 访问日志、签名策略（presigned URL 或 token）和示例图片（尺寸、格式、大小）。

3. 在相同设备上分别测试：手机 Wi‑Fi、移动数据、通过 VPN、以及电脑模拟（Postman / curl）。用 curl 或 Postman 重现并保存完整响应：curl -v -X PUT "PRESIGNED_URL" --upload-file avatar.jpg --header "Content-Type: image/jpeg"。

4. 核查点：是否使用 chunk 分片上传（复杂度高）、是否正确设置 Content-Type/Content-Length、是否对 presigned URL 做了 URL encode/重写、是否对 HTTPS 做证书校验或证书固定，是否存在超时设置过短或重试策略不当。

5. 命令与操作：在手机上用 adb logcat（Android）或 macOS 的 tcpdump（iOS 通过 mac 抓包）抓包：tcpdump -i en0 host cdn.example.com and port 443 -w capture.pcap。用 traceroute/mtr/ping 检查路由与丢包：traceroute cdn.example.com；若丢包或中间节点丢包，联系运营商或做绕路测试（切换 DNS、开启 VPN）。

6. 使用 openssl 检查证书链：openssl s_client -connect cdn.example.com:443 -servername cdn.example.com 。注意证书过期、中间证书缺失、SNI 设置是否正确（移动端请求可能缺 SNI）。若证书链不完整，CDN 与源站 TLS 配置需修复。

7. 核查：CORS 是否允许来源（Access-Control-Allow-Origin）、是否允许带凭证（Access-Control-Allow-Credentials）、是否禁止了某些方法（PUT/POST）、缓存规则是否返回旧签名页面、WAF/防火墙是否拦截特征流量。查看 CDN 控制台的访问日志与拦截日志。

8. 检查签名有效期（客户端生成时区错误、时间偏差导致过期）、签名所需头部（如 x-amz-content-sha256）是否在请求中保留、ACL 与对象权限是否允许写入。测试示例：用 curl 请求 presigned URL：curl -v -T avatar.jpg "PRESIGNED_URL" 并检查返回的 403 或错误信息。

9. 检查后端接收服务是否有超时或 body 大小限制（Nginx client_max_body_size）、反向代理（如 Nginx、APISIX、Envoy）是否正确转发，日志是否出现 413/504/502，若有限速/并发限制需进行放宽或优化。

10. 常用命令集合： - curl 重现请求并保存详细日志：curl -v -X PUT "PRESIGNED_URL" -H "Content-Type: image/jpeg" --data-binary @avatar.jpg - openssl s_client -connect cdn.example.com:443 -servername cdn.example.com - tcpdump -i any host cdn.example.com and port 443 -w out.pcap - adb logcat | grep Upload 这些能快速定位是网络层、TLS 还是应用层权限问题。

11. 若无法短时间修复，临时方案：1) 切换到直接上传到源站（绕过 CDN）；2) 生成更长有效期的 presigned URL；3) 使用小分片重试并指数回退；4) 为关键用户提供备用上传域名或二级 CDN。

12. 问：移动端上传头像常见导致 CDN 失败的首要原因是什么？

答：答：常见原因包括签名/Token 过期或被修改、CORS 未配置或未允许 PUT/POST、HTTPS 证书或 SNI 问题、移动网络丢包或运营商劫持、后端或代理的 body 大小限制（413）以及 WAF 误拦截。优先查看 HTTP 响应码和 CDN/源站日志以快速定位。

13. 问：如何快速判断是网络问题还是权限（签名）问题？

答：答：使用 curl 在稳定网络（电脑的有线网络或 VPN）复现同一 presigned URL：若在电脑可成功而手机失败，多为网络或证书问题（抓包看 TCP/TLS 是否成功）；若电脑也失败且返回 403/401，多为签名或权限问题（检查签名有效期、必要头部是否一致）。

14. 问：针对主流 CDN（如 AWS CloudFront、阿里云 CDN）有哪些特别注意点？

答：答：CloudFront 常见问题是签名 URL 过期、CORS 未放行、Origin Protocol Policy（HTTPS only）和缓存导致旧签名；阿里云需检查看 OSS 签名参数和回源配置、加速域名的证书是否正确。建议查看 CDN 控制台的回源日志、WAF 日志和安全组策略，并在控制台临时打开详细访问日志以定位详情。

来源：移动端完美头像上传cdn失败的网络与权限排查实用方法