前端首页不能直连阿里云OSS，因密钥必须服务端保管；ThinkPHP8应通过后端代理上传，使用环境变量加载AK/SK，调用uploadFile或putObject方法，并返回CDN URL供前端使用。
前端首页不能直接调用阿里云OSS——这不是权限问题，而是安全机制强制禁止的。所有涉及 AccessKeyId 和 AccessKeySecret 的操作必须在服务端完成。
为什么前端不能直连OSS
阿里云OSS明确拒绝前端（浏览器）使用长期密钥上传：一旦密钥泄露，攻击者可无限读写你的整个Bucket，甚至删除全部数据。官方文档和控制台都会警告“禁止硬编码AK/SK到前端”。Chrome 控制台里搜 OSS_ACCESS_KEY_ID 就能立刻复现风险。
- 浏览器环境无法隐藏密钥，
fetch或XMLHttpRequest发出的请求头、源码、Network 面板全暴露 - OSS 默认关闭跨域（CORS）写权限，即使配了也只允许特定域名 + 指定 HTTP 方法，不解决密钥裸奔问题
- 哪怕你用 STS 临时 token，前端发起
AssumeRole请求也需要后端签名中转，无法绕过服务端
ThinkPHP8 正确的调用链路
前端首页只负责触发上传动作，实际上传由 ThinkPHP8 后端代理完成。关键不是“怎么调”，而是“谁来调”和“怎么传参”。
- 前端用
axios.post('/api/oss/upload', { file: input.files[0] })把文件二进制流发给 TP8 接口 - TP8 接收后调用
OssClient::uploadFile()，使用$_ENV['OSS_ACCESS_KEY_ID']等环境变量初始化客户端 - 上传成功后返回带 CDN 域名的完整 URL（如
https://cdn.example.com/uploads/202608/abc123.jpg），前端直接渲染或存入表单字段 - 务必在 .env 中配置
OSS_ENDPOINT=https://oss-cn-shanghai.aliyuncs.com，注意协议必须是https，否则 PHP SDK 会静默失败
容易踩的坑：uploadFile vs putObject
ThinkPHP8 接收上传文件后，别直接把 $file->getTmpName() 字符串传给 OssClient::putObject() —— 它要的是 resource，不是路径。
立即学习“PHP免费学习笔记（深入）”；
-
OssClient::uploadFile($bucket, $object, $localFilePath)：接受字符串路径，自动处理分片、重试，适合 >100MB 文件 -
OssClient::putObject($bucket, $object, fopen($file->getTmpName(), 'rb'))：必须用fopen(..., 'rb')，Windows 下漏掉'rb'会导致图片损坏 - 若用
putObject传字符串内容（比如 base64 解码后的二进制），记得设Content-Type，否则 OSS 默认application/octet-stream，浏览器下载时无法正确识别 JPG/PNG
前端配合要点：预签名 URL 不适用于首页直传
有人想用服务端生成预签名 URL 让前端 PUT 到 OSS，这在 TP8 里可行但不推荐用于首页常规上传——因为每个 URL 只能用一次、有时效（最长 60 分钟）、且需提前知道文件名和类型。
- 首页上传通常是用户选任意文件，文件名不可控，
$object无法预先确定 - 生成预签名 URL 要调用
OssClient::signUrl()，参数里必须填Content-Type和Expires，前端传错类型就会 403 - 真正适合它的场景是：后台管理页导出固定报表（如
/report/20260827.xlsx），而非首页用户头像/授权书等自由上传
最稳的方式还是走 TP8 接口中转：上传逻辑集中、错误统一捕获、文件名可控、权限可审计。别为了省一次 HTTP 请求，把密钥或临时凭证塞进前端代码里。
