前面几楼把权限、AK/SK、版本控制、存储类别、分段上传、对象名、Content-Type、签名这些大头讲得很全了，我补充一个前面没展开、但新手真实会踩的点：跨区域复制。以下说法查过 OBS 官方常见问题“跨区域复制”（更新 2026-10-12）后确认。 一、跨区域复制不是“配完就全量同步” 1. 不开“同步历史对象”，桶里已有的对象不会复制到目标桶，只复制规则创建后新上传的对象。想把老数据也带过去，要么开同步历史对象，要么用 obsutil 的客户端跨区域复制模式手动迁移。 2. 新上传的对象如果存储类别是归档存储，也不会复制。 3. 复制不保证时效性，配完规则后对象可能不会立即复制，等一等再查；一直不到，先看上面两条，再确认源桶和目标桶所在区域是否支持跨区域复制。 4. 删除默认不同步：只有在控制台规则里设置了“同步删除操作”，源桶删对象才会同步到目标桶。删了源对象发现目标桶里还在，先查这项配置，别急着认为是复制坏了。 5. 加密桶留意：按官方错误码说明，当前版本不支持加密桶的跨区域复制，遇到 CRR.00120011 这类报错，先确认桶是不是加密桶，改用非加密桶或联系技术支持。 二、把它当备份之前，先确认三件事 目标桶要提前建好；复制是单向、按规则来的，不是双向同步，也不是整桶镜像，改了规则要重新核对生效范围；版本控制防误删、生命周期清理碎片、跨区域复制异地多一份，是三件不同的事，仍然要单独配。 一句话：跨区域复制适合“新数据异地多一份”，不适合“配完就以为老数据已经同步了”。建规则时把同步历史对象、同步删除、存储类别、加密桶这四项先对一遍，再传一个新文件验证一次，比事后查日志快得多。

前面 3、5、6、9 楼已经把权限、区域、计费、对象命名和 obsutil 操作列得很全了，我不重复清单，只补一个新手最容易卡住、也最容易误判成“权限问题”的点：报 403 时，先看错误码，签名问题和权限问题是两条不同的排查路线。我先查了官方文档再写的，依据是 OBS 常见问题里《签名不匹配（SignatureDoesNotMatch）如何处理》和《如何上传超过5GB的大对象？》。 一、403 先分清是签名还是权限 1. SignatureDoesNotMatch（签名不匹配）：请求里带的签名和系统算出的签名不一致，和 IAM 授权无关。按官方文档的顺序逐项核对：（1）endpoint 格式是 obs.区域ID>.myhuaweicloud.com，不要在前面多加桶名当成 endpoint（把桶访问域名当 endpoint 是典型错误）；（2）AK、SK 成对匹配，且与请求所用的一致；（3）签名用的 HTTP-Verb 和实际请求一致；（4）Date/Expires 与请求头域（或 URL）里的一致——设备时间偏差过大也会导致 Date 对不上，换桶换密钥都没用，先对一下设备时间；（5）Content-MD5、Content-Type、Canonicalized Headers：计算签名时包含在内，发送请求时也必须带上对应的头域；（6）Canonicalized Resource 严格按 API 文档的规范拼；（7）StringToSign 的构造是 HTTP-Verb + 换行 + Content-MD5 + 换行 + Content-Type + 换行 + Date + 换行 + CanonicalizedHeaders + CanonicalizedResource，值为空的参数处直接换行；（8）签名算法：字符串先 UTF-8 编码，再用 SK 做 HMAC-SHA1，最后 Base64 编码。 2. AccessDenied（403 但无签名错误）：这才是权限问题，再按 3、6 楼说的顺序查 IAM 策略、桶策略、对象 ACL 三处，不要一上来就放开整桶公共读。 二、上传大小：别用普通上传去传大文件 官方文档的界限要记牢：控制台一次最多 1000 个文件、总大小不超过 5GB，只传 1 个文件时最大 5GB；SDK 的流式上传、文件上传内容也不能超过 5GB；超过 5GB 的大对象用分段上传，单个对象最大 48.8TB。应用层（比如自己写的上传逻辑）如果设了更小的上限，也要按这个分界来判断是服务端限制还是自己代码的限制。 三、建议的验证顺序 先在测试桶把“建桶、上传、下载、删除”走一遍，再动生产桶；报 403 时把完整错误码（SignatureDoesNotMatch 还是 AccessDenied）和请求信息贴出来，定位会快很多。官方文档链接：签名不匹配处理 https://support.huaweicloud.cn/obs_faq/obs_faq_0173.html 。

先说结论：新手用 OBS 最容易踩的坑，集中在桶名、权限、计费和“当成文件系统用”这四处。下面逐个说，都是对照 OBS 官方帮助中心（创建桶、计费项、权限配置指南）核对过的。 一、桶名建错了改不了 官方文档写明：桶名在整个 OBS 系统中全局唯一，不能与已有桶（包括其他用户创建的桶）重复；命名规则是 3～63 个字符，数字或字母开头，仅支持小写字母、数字、“-”、“.”，不能用 IP 地址形式，不能以“-”或“.”开头和结尾，也不能出现两个“.”相邻。创建时区域和存储类别也要一次想好，建好后不能改。还有一个细节：删除桶后立即创建同名桶会失败，需要等待 30 分钟。建议桶名按“用途-环境-日期”这类规则提前定好。 二、权限默认私有，别顺手开公共读 新建桶默认是私有桶，这是最安全的状态。很多新手为了图方便直接把桶设成公共读，结果对象链接被搜索引擎收录、被他人批量下载。需要临时让别人下载单个文件时，不要改桶权限，用带签名的临时 URL 授权即可；长期对外提供下载再用桶策略精确授权。 三、计费不止“存了多少” 按官方计费项，OBS 的费用包括存储容量、请求次数和公网流出流量三部分。只看存储价格会低估账单：大量小文件频繁读写会产生很多次请求费用，通过 CDN 回源、跨区域复制同样会产生流量费用。买了资源包也不代表不扣费，超出包内额度的部分仍按量计费。建议上线前在控制台“计费项”里先算一遍，定期看账单明细。 四、不要把 OBS 当文件系统 OBS 的“文件夹”只是对象名前缀，不是真正的目录；不能像本地磁盘那样原地改写文件，修改即重新上传整个对象。单个对象超过 5GB 要用分段上传，上传中断会留下碎片，碎片继续占用存储并计费，记得用生命周期规则定期清理碎片和过期版本。另外，删除桶之前必须先清空桶内所有对象和历史版本，否则删不掉。 五、给新手的最小清单 1. 建桶前定好命名、区域、存储类别；2. 权限保持私有，按需临时授权；3. 重要数据开版本控制，但同时配好过期清理；4. 大文件用分段上传，配好碎片清理；5. 每月看一次账单明细。 官方入口：华为云帮助中心 → 对象存储服务 OBS → 快速入门“通过控制台快速使用 OBS”和“创建桶”，先走一遍再动手，能避掉大半新手坑。

选规格别先看价格，先按官方《计算服务选型指导》的思路对一下业务：选型要看业务负载、性能时延、成本预算、资源隔离、运维与弹性这五个维度，结合业务场景匹配合适的计算方案（https://support.huaweicloud.cn/how-to-choose-compute/compute_0001.html）。1、先按负载档位选产品线轻量低负载（个人博客、小网站、开发测试、云端开发环境）选 Flexus 应用服务器 L 实例，套餐化售卖、应用镜像一键部署；中低负载（企业建站、电商直播、音视频服务、开发测试环境）选 Flexus 云服务器 X 实例，vCPU、内存可以自定义配比，支持按需灵活计费；全场景和企业级业务（网站应用、数据库、大数据、图形渲染、AI/机器学习，对性能和稳定性要求高）选弹性云服务器 ECS，支持 x86 与鲲鹏架构，规格最丰富，还支持弹性扩缩容。2、再按瓶颈定 CPU 和内存配比常规 Web 应用可以先用通用型、1 核 2G 或 2 核 4G 起步；CPU 密集的计算、推理类业务选计算型；数据库、缓存类业务选内存型。拿不准就先选通用型跑起来，再用云监控看实际 CPU、内存使用率，瓶颈在哪就补哪。3、计费方式跟着业务生命周期走长期稳定跑的业务用包年/包月；短期、波动大、做测试的业务用按需计费，不用时关机；ECS 的包年/包月和按需计费支持互相转换，选错了可以改，不用一次定死。官方文档还提到，Flexus X 实例在 Huawei Cloud EulerOS 2.0 下支持规格热变配，升级 vCPU、内存时无需重启、业务不中断。一句话做法：先按负载选产品线，再按瓶颈选配比，最后用监控数据验证、按需升降配。不要为“以防万一”一步到位买大规格，云服务器的优势就是可以随时调整。

补充一个按官方产品页场景对照的选型思路，供楼主直接对照。官方把 FunctionGraph 的场景归为四类：实时文件处理、实时数据流处理、Web/移动应用后端、人工智能服务集成，计费是按请求次数和计量时间，代码未运行时不产生费用，闲置 0 成本。 1）实时文件处理：OBS 上传文件触发函数，做压缩、转码、打水印、生成缩略图，处理完把结果写回 OBS。适合“文件一到就处理一次”的任务，不适合把函数当成常驻的文件服务。 2）实时数据流处理：DIS 采集流数据，批量数据由事件触发函数处理，例如跟踪应用活动、处理事务顺序、分析数据流、整理数据、生成指标、筛选日志、建立索引、分析社交媒体以及 IoT 设备遥测和计量。优势是业务爆发时自动调度更多函数实例，按需收费，不用为非峰值预留冗余资源。 3）Web/移动应用后端：配合 APIG 承接轻量接口、回调、表单提交，流量低时成本低，突发时自动扩容。 4）人工智能服务集成：把一次模型调用、检索或工具执行封装成函数，供工作流或 Agent 按需调用。 选型时建议先回答三个问题：第一，任务是不是事件触发、无状态、单次执行时间短；第二，高峰并发和冷启动延迟能不能接受；第三，失败重试会不会重复写入，是否做了幂等。如果三项都通过，FunctionGraph 往往比常驻一台服务器划算；如果任务是 7×24 常驻、高频低延迟、有状态长连接，优先考虑容器或 ECS，把函数只用在周边的事件处理和异步任务上。 参考：华为云官网函数工作流 FunctionGraph 产品页，场景与计费说明见该页“丰富的应用场景”与“极低成本消耗”部分。

你已经查过 lsof 且没有明显结果，建议先不要再逐层猜目录，而是把 df 与 du 的差额算出来，再按差额的特征分流。df 读的是文件系统统计，du 是遍历目录树，两者本来就有口径差，先对齐再下结论。 第一步：算出差额用 root 执行，统一用字节、限定同一文件系统、保留报错，不要用目录通配符代替目录本身：df -B1 满的挂载点du -x -B1 --max-depth=1 满的挂载点差额 = df 的 Used - du 的合计。如果 du 报错被丢掉了，漏统计的目录会直接变成“差额”，先把报错看完。 第二步：按差额特征分流1. 差额比较稳定，且大约是分区大小的 5%：先查 ext4 预留块，tune2fs -l 设备 | grep Reserved。数据盘可以酌情调低，系统盘不建议动。2. 差额会随业务写入变大、重启或重载服务后消失：回到已删未释放这条线，用 lsof +L1 只看链接数为 0 的文件，确认归属后再处理，不要直接删正在写入的日志。3. 差额约等于某个子目录在另一视图下的大小：查 findmnt -R，看有没有先写数据、后挂载新盘把旧数据盖住的情况。生产环境不要直接 umount，先用只读方式核对。4. df -i 显示 100% 但块占用并不高：这是 inode 耗尽，海量小文件的问题，和“块空间差额大”是两件事，不要混在一起处理。5. 稀疏文件、硬链接、快照或子卷：du 按实际占用块计，ls 按逻辑大小计，两者不能直接比；有快照或子卷时要按文件系统自己的统计工具核对。 安全提醒：清理前先确认文件归属和业务用途；磁盘满时先按华为云帮助中心《处理Linux云服务器磁盘空间不足的方法》确认现象和扩容路径，不要在没定位前批量删除。 建议补充：满的挂载点、df -B1、df -i、du -x 的结果和算出的差额，这样可以直接锁定是预留块、已删文件、挂载遮挡还是 inode 问题。

结合 OBS 官方帮助中心的产品介绍、快速入门和权限配置指南，先说新手最容易踩的几个具体坑，供你逐项核对： 1. 桶名和区域先定死：桶名全局唯一、创建后不能改名；访问时要用桶所在区域的域名/Endpoint，跨区域写错 Endpoint 会直接报找不到桶或签名不匹配。 2. 别图方便开公共读：公开桶能直接下载，但也等于公开数据。只给别人临时看文件时，用临时授权（带签名的临时 URL）或桶策略限定对象，比长期公共读安全得多。 3. 权限按最小范围给：AK/SK 和 IAM 策略只给用到的桶和操作，测试完及时回收；报 403 时先查桶策略、IAM 策略和对象 ACL 三层，不要只看一层。 4. 存储类别和生命周期要配套：标准、低频、归档的取回方式和费用不同；归档对象要先恢复才能下载。设生命周期前先确认对象前缀，避免误删仍在用的文件。 5. 大文件别用单次上传硬扛：大对象用分段上传，断点续传并校验；上传后核对对象大小和 ETag，失败的分段及时清理，避免残留分段占空间。 6. 浏览器直传先配 CORS：前端直传报跨域时，先在桶上配好允许的来源、方法和请求头，不要把问题当成网络故障反复重试。 建议按“区域—桶策略—IAM—存储类别—上传方式—CORS”这个顺序排查，先在测试桶里复现一次再动生产数据。你如果补充一下报错原文、区域和上传方式，社区能更准确地帮你定位。

对照华为云官方文档《在ECS控制台重置密码》补充一个区分点：先分清在线重置还是离线重置，重启的要求并不完全一样，混在一起容易误判。 结论先说：可以在控制台直接重置，不用重装系统；重置本身只改操作系统账号的密码，不会格式化系统盘，也不动数据盘，数据不会因此丢失。真正会清空系统盘的是重装系统、切换操作系统，按钮名字不同，不要点错。 在线重置：实例处于运行中，且一键式重置密码插件正常工作时可用，公共镜像默认已安装该插件，提交后按控制台提示操作即可。离线重置：插件缺失、异常，或镜像不支持在线重置时走这条路，一般需要先关机，重置完成后再开机，新密码在开机或重启后生效。 操作前建议两件事：一是给系统盘打一个快照，万一后续误操作还有回退点；二是新密码按控制台要求设置，长度为8到26位，且大小写字母、数字、特殊字符中至少包含三种，过于简单的密码会直接导致重置失败。 重置后仍连不上时，先不要反复改密码，按顺序查：用户名是否正确（Ubuntu镜像多为ubuntu，Windows为Administrator）、安全组是否放行22或3389端口、sshd是否禁用了密码登录（密钥登录的实例常见此问题）、账号是否因多次输错被锁定。控制台远程登录能进，说明系统和密码基本正常，问题多在网络或sshd配置。

结论先说：不要一上来就买最大的规格，先按场景定类型，再按实测数据定大小，最后留出变更规格的余地。官方《ECS规格选型》也是这个思路：按实例类型、按业务场景、按运行应用选型，上线后用监控验证，不合适再变更规格。 第一步，按瓶颈定类型，不要只看核数。计算密集、后端服务优先看计算型；缓存、数据库优先看内存；存储密集、读写量大优先看存储或磁盘增强型；展示型网站、开发测试可以用通用型起步。官方示例中，展示型网站和开发测试常用通用型，后端服务常用计算型，缓存常用内存型，先对上这一层，再谈大小。 第二步，按峰值留余量，不要按平均值买。先估算并发、CPU、内存、磁盘IOPS和带宽五个指标，取峰值再留约20%余量；不确定的业务先小一档上线，用按需计费跑一到两周，拿到CPU、内存和磁盘的实际曲线后再定长期规格。长期稳定运行的业务再考虑更优惠的长期计费方式，短期、波动大的业务不要一开始就锁定长期规格。 第三步，上线后做一次验证，只看三件事：CPU是否长期低于20%或经常跑满，内存是否长期吃紧，磁盘和网络是否成为瓶颈。官方文档也建议用云监控服务CES查看性能，发现CPU低但内存高时，换成核数与内存配比更合适的规格，而不是直接加核。变更规格前先做快照或备份，业务低峰期操作。 容易踩的坑：只按价格选最小规格，业务一上量就卡；只按峰值翻倍买，平时大量闲置；把系统盘和数据盘混在一起，扩容时互相影响。按“场景定类型、实测定大小、监控定调整”走一遍，成本和性能就比较容易平衡。

结论先说：生产配置没有一套通用数值，先定基线、再按监控和慢SQL调，最后才动参数；参数要先在测试环境验证再上生产。华为云官方文档也是这个思路：数据库配置参数应从具体业务诉求着手，各服务都提供了满足最普遍业务需要的默认参数。 一、先定生产基线（上线前必做）1. 选型与部署：按读写比例和峰值选规格，不要只按平均流量选；生产用主备/高可用部署，应用不要直连单节点。读多写少时，优先考虑只读节点或读写分离地址，让写走主节点、读按权重分到只读节点。2. 备份与恢复：开自动备份，备份保留期按业务合规定；只开备份不算完，要定期做一次恢复演练，确认备份真的能恢复到指定时间点。3. 安全与连接：生产账号按最小权限开，应用账号不要用管理员账号；连接用连接池，控制最大连接数，避免业务突发把数据库连接打满。 二、日常靠监控定位，不要凭感觉调参数1. 盯住这几项：CPU、内存、连接数、慢查询数、磁盘使用率和主备延迟；给它们设告警阈值，异常时先收到告警再处理。2. 出问题先分层：先看是连接打满、锁等待、还是某条SQL变慢，再决定是扩规格、处理长事务，还是改SQL。持锁长事务长时间不提交会阻塞后续业务，这种情况要先处理长事务，业务侧也要避免持锁长事务。3. 可以用数据库智能运维/诊断工具看异常项和优化建议，不要直接照抄网上的参数值。 三、优化按这个顺序做1. 先改SQL和索引：确认慢SQL是不是缺索引、索引建得不合理，或者写了导致全表扫描的写法；先调语句，再考虑升规格。2. 再看表结构：大表按时间或业务键做分区规划，分区表在查询、维护和I/O均衡上有优势，但普通表转分区表要新建分区表再导数据，所以要在设计初期就规划好，不要等表大了才临时改。3. 最后调参数：只改和当前瓶颈相关的参数，一次改一项，改完观察一段时间；同时记录改了什么、为什么改、回滚方法。 四、不同场景的取舍1. 读多写少：读走只读节点，热点数据加缓存，但缓存失效和一致性要先定好策略。2. 写多：控制单事务大小，避免大事务长时间持锁；批量写入分批做。3. 成本敏感：先看慢SQL和闲置规格，不要一上来就升配；存储开自动扩容，避免磁盘满导致写入失败。 五、变更纪律1. 所有生产参数变更先在测试环境验证，避开业务高峰，留好回滚方案。2. 变更后观察监控和慢SQL至少一个业务周期，确认没有回归再收尾。 参考：华为云帮助中心《数据库性能优化》（云架构中心，性能效率支柱）中关于优化数据库配置、观测性能指标、设置数据分区、SQL语句调优和读写分离的实践。 补充说明：这道题没有写具体用的是哪款数据库、哪个版本、读写比例和瓶颈现象，所以上面只能给通用清单；如果补充这些信息，可以再针对性地给一份参数和SQL检查清单。