CDN边缘节点不支持直接上传，必须先将文件推送到后端对象存储（如S3/OSS/R2/COS），再由CDN回源缓存；上传需用官方SDK签名、设ContentType和Cache-Control，大文件用分片上传。
直接调用 CDN 提供商的 API 上传，不是走 HTTP 表单提交
边缘节点不是你本地磁盘，也不是传统 Web 服务器上的 /upload 接口。主流 CDN（如 Cloudflare R2、AWS CloudFront + S3、阿里云 OSS+CDN、腾讯云 COS+CDN）都不支持“直接 POST 到边缘 URL 上传文件”。你必须把文件先推到其后端对象存储（Object Storage），再由 CDN 自动回源或预热缓存。
常见错误现象：405 Method Not Allowed 或 403 Forbidden 出现在你尝试 HttpClient.PostAsync("https://cdn.example.com/file.jpg", ...) 时——因为那个域名只是分发入口，不处理写请求。
- 确认你用的是 CDN 背后的对象存储服务（比如阿里云是
OSS，AWS 是S3，Cloudflare 是R2），不是 CDN 域名本身 - C# 中优先用官方 SDK（如
AwsSdk.S3、Aliyun.OSS.SDK、Cloudflare.R2），别手写签名逻辑 - 上传目标是对象存储的 Bucket 内路径，例如
images/avatar.jpg，不是https://cdn.example.com/images/avatar.jpg
用 AwsSdk.S3 上传到 S3 后自动被 CloudFront 缓存
这是最典型的“推送到边缘”的实际路径：S3 存原始文件 → CloudFront 绑定该 S3 作为源 → 用户访问 CloudFront 域名时命中边缘节点。上传动作只跟 S3 打交道。
关键点在于：S3 的 ACL 和 Bucket Policy 必须允许 CloudFront 读取；如果你开了 “Restrict Bucket Access”，就得配 Origin Access Identity（OAI），这时上传的文件必须设为 private，否则 CloudFront 拿不到。
- 上传时用
PutObjectRequest.ServerSideEncryptionMethod = ServerSideEncryptionMethod.AES256更安全 - 别漏掉
ContentType，否则浏览器可能无法正确解析图片/CSS/JS：request.ContentType = "image/jpeg" - 大文件（>5MB）务必用
TransferUtility.UploadAsync()，它自动分片、重试、断点续传；PutObjectAsync()容易超时或内存溢出
HttpClient 直传 R2 或 COS 会失败，因为缺签名头
Cloudflare R2 和腾讯云 COS 都要求所有写请求带有效签名（R2 用 Authorization: Bearer 或 Authorization: AWS4-HMAC-SHA256；COS 用 Authorization: q-sign-algorithm=sha1）。你不能只靠 HttpClient 发个裸 POST 就行。
典型错误：403 SignatureDoesNotMatch 或 400 InvalidSignatureException。这不是网络问题，是签名算法没对上。
- Cloudflare R2 推荐用
Cloudflare.R2SDK（基于AwsSdk.S3兼容层），传入new AmazonS3Config { ServiceURL = "https://your-bucket.r2.cloudflarestorage.com" } - 腾讯云 COS 必须用
CosXml.dll，自己拼Authorization头极容易错——时间戳偏移、编码顺序、header 白名单漏项都会导致失败 - 如果非要用
HttpClient（比如受限于运行环境），得严格按文档实现签名流程，且每请求都要重新算签名，不能复用
上传后要不要主动刷新 CDN 缓存？一般不用
对象存储 + CDN 架构下，首次请求触发回源，后续请求走边缘缓存。只要文件在源站（S3/OSS/R2）里存在且可读，CDN 就能拉到。所谓“刷新”其实是清旧缓存，适用于覆盖同名文件但想立刻生效的场景。
但注意：R2 默认无缓存 TTL，COS/S3 默认继承源站响应头中的 Cache-Control；如果你上传时没设 Cache-Control: public, max-age=31536000，CDN 可能只缓存很短时间甚至不缓存。
- 上传时通过 SDK 设置元数据：
request.Metadata["Cache-Control"] = "public, max-age=31536000" - 阿里云 OSS 还要额外开“静态网站托管”或配置“跨域规则”，否则某些前端直读会报
CORS错误 - 真正需要调用刷新接口（如
RefreshObjectCaches）的情况极少，仅限发布紧急补丁、替换关键 JS/CSS 且不能等缓存自然过期时
最常被忽略的一点：上传成功 ≠ 用户能立刻访问。检查三件事——对象存储权限是否放开、CDN 回源配置是否指向正确源站、文件的 Content-Type 和 Cache-Control 元数据有没有设对。少一个，就卡在某一层。
