关于Cloudflare R2 API架构与多租户安全实现的技术问询

一、多租户架构合理性与桶上限突破 #

架构合理性 #

为每个客户端分配专属存储桶的方案优势明确：数据物理隔离彻底，权限边界清晰，无需在同一桶内维护复杂的前缀隔离策略，排查问题时更易定位。但缺点也很突出：R2默认的1000桶上限是平台级硬限制，且每个桶的管理成本（凭证生成、权限配置）会随租户数量线性上升。

突破桶上限的方案 #

1. 申请提升配额：直接联系Cloudflare支持团队，说明多租户业务需求，申请提高账号的R2桶数量上限（是否获批取决于业务规模与合规性）。
2. 切换单桶+前缀隔离架构：
   • 为每个租户分配唯一的前缀（如tenant_<uuid>/），所有租户数据存储在同一个R2桶中。
   • 通过桶级权限策略或Cloudflare API Token限定租户仅能访问自身前缀下的对象，实现逻辑隔离。这种方式完全避开桶数量限制，且管理成本更低。

二、R2与S3认证差异及完整操作步骤 #

认证差异理解确认 #

你的理解是对的：R2与S3的认证机制存在核心差异：

• S3依赖IAM用户/角色+桶策略实现细粒度权限，可直接为用户绑定特定桶的权限。
• R2的S3兼容API使用R2 Access Key（分管理员级与桶级），而细粒度的桶级权限凭证需通过Cloudflare API生成；Cloudflare自身的API操作（如创建桶、生成凭证）则使用Cloudflare API Token，而非S3的IAM体系。

完整操作步骤 #

1. 创建存储桶

你已通过S3 API（管理员R2 Access Key）完成此步骤，补充Cloudflare API方式供参考：

curl -X POST "https://api.cloudflare.com/client/v4/accounts/<你的账户ID>/r2/buckets" \
  -H "Authorization: Bearer <你的Cloudflare API Token>" \
  -H "Content-Type: application/json" \
  -d '{"name": "<租户专属桶名>", "location": "<可选，如auto>"}'

2. 生成桶专属凭证（非Worker场景适用）

推荐使用桶级R2 Access Key（S3兼容，适配多数客户端S3 SDK），通过Cloudflare API生成：

curl -X POST "https://api.cloudflare.com/client/v4/accounts/<你的账户ID>/r2/api/keys" \
  -H "Authorization: Bearer <你的Cloudflare API Token>" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "<凭证名称，如tenant-xxx-key>",
    "bucket": "<租户专属桶名>",
    "permission": "object_write" # 可选值：object_read、object_write、object_admin
  }'

返回结果包含access_key_id和secret_access_key，将这两个值存入租户专属数据库即可。

若需使用Cloudflare API而非S3兼容API操作，可生成限定桶权限的Cloudflare API Token：

• 在Cloudflare控制台创建Token时，添加权限：R2 > 存储桶 > 读取、R2 > 对象 > 写入等，并指定具体的存储桶。
• 这种Token仅能用于Cloudflare原生API，无法适配S3 SDK。

3. 客户端读写操作

客户端使用生成的桶级R2 Access Key，通过S3兼容API操作：

• 配置S3 SDK时，指定R2的endpoint：https://<你的账户ID>.r2.cloudflarestorage.com
• 仅需传入access_key_id、secret_access_key及目标桶名，即可进行上传、下载、删除等操作，与标准S3操作完全一致。

Worker凭证适用性说明 #

你尝试生成的Worker读写凭证仅能在Cloudflare Worker环境内使用，无法直接提供给外部客户端调用。非Worker场景下，应使用上述的桶级R2 Access Key或限定桶权限的Cloudflare API Token。

内容的提问来源于stack exchange，提问作者Vlado Petrushevski