最稳妥方式是直接用 s3.PutObject，v2 SDK 已封装认证与重试；大文件用 s3manager.Uploader，小文件用 PutObject；注意 region、bucket、key 严格匹配及权限配置。
怎么用 aws-sdk-go-v2 上传文件到 S3
直接用 s3.PutObject 最稳妥，别碰 PutObjectRequest 手动拼签名——v2 SDK 已封装好认证和重试逻辑，手动搞容易漏 ContentMD5 或时区导致签名失败。
常见错误现象：InvalidSignatureException（本地时间不准、region 配错）、NotFound（bucket 不存在或权限没开）、AccessDenied（IAM policy 没给 s3:PutObject）。
实操建议：
- 确保
config.LoadDefaultConfig读到了正确的AWS_PROFILE或环境变量，别硬编码credentials.Value - bucket 名必须全局唯一，且与 client 初始化时传的
region严格匹配，比如创建在us-west-2的 bucket，client 就不能用us-east-1 - 上传大文件（>5MB）优先走
s3manager.Uploader，它自动分块、并发、断点续传；小文件用PutObject更轻量 -
Key参数就是对象路径，支持带斜杠（如"logs/2024/06/app.log"），但开头不加/
GetObject 返回空内容或 NoSuchKey 怎么排查
不是代码写错了，大概率是 key 大小写、前缀、编码问题。S3 的 key 是严格区分大小写且 URL 编码敏感的。
立即学习“go语言免费学习笔记（深入）”；
常见错误现象：GetObject 返回 200 OK 但 body 为空、NoSuchKey 明明文件存在、用 AWS CLI 能查到但 Go 程序查不到。
实操建议：
- 用
s3.HeadObject先确认对象是否存在，避免白跑GetObject解包逻辑 - 检查 key 是否被意外 URL 编码过，比如中文名存进去是
%E4%BD%A0%E5%A5%BD.txt，代码里却传了原始字符串"你好.txt" - 确认 bucket policy 和 IAM policy 允许
s3:GetObject，且没加Condition限制 IP 或 referrer - 如果用
listObjectsV2查过列表再取 key，注意Contents.Key是原始值，别二次url.PathEscape
为什么 s3manager.Downloader 比自己读 GetObject body 更可靠
因为网络波动、连接中断、超时重试这些事，s3manager 全包了；你自己用 io.Copy 读 result.Body，一旦中间断开就得全量重下。
性能影响明显：小文件（10MB）自己读容易卡在慢速连接上，而 Downloader 默认 5 并发 + 自动分片 + 指数退避重试。
实操建议：
- 下载目标是本地磁盘时，直接传
*os.File给Download，它会用io.Copy+io.Seeker做流式写入，不占内存 - 不要对
result.Body调Close()后再传给Downloader——body 已关闭，会报Body is not readable - 若需限速，改用
Downloader的Concurrency和PartSize控制，别套io.LimitReader，后者会破坏分片对齐
Go 程序部署到 ECS 或 EKS 时，为什么连不上 S3
不是 SDK 问题，是角色权限和网络路径没对上。ECS task role、EKS IRSA、EC2 instance profile 这三者获取临时凭证的方式完全不同，SDK 默认行为也不同。
常见错误现象：MissingRegion（config 没设 region）、ExpiredTokenException（STS token 过期未自动刷新）、connection refused（VPC 内没配 VPC endpoint 或安全组阻断 443）。
实操建议：
- 在容器里别依赖
~/.aws/credentials，强制用config.WithRegion("us-east-1")，否则 v2 SDK 可能因无法推断 region 报错 - EKS 上启用 IRSA 时，确保 service account 注解正确：
eks.amazonaws.com/role-arn: arn:aws:iam::123:role/my-s3-role，且该 role trust policy 允许sts:AssumeRoleWithWebIdentity - VPC 内访问 S3 必须配
com.amazonaws.region.s3接口型 VPC endpoint，否则流量走公网，可能被安全组或 NACL 拦住
最常被忽略的是 region 和 endpoint 的耦合关系：哪怕你用 custom endpoints 指向私有 S3 兼容服务，也得显式设置 region，否则 SDK 会尝试从 endpoint 解析 region，失败就 panic。
