Cloudflare R2 CORS配置无效引发403错误，请求技术帮助

问题排查与解决步骤 #

1. 确认Bucket权限与文件访问设置 #

直接URL能访问说明文件已公开，但需检查：

• 进入R2 Bucket的「权限」页面，确认已开启公开访问，或通过自定义规则允许匿名GET请求
• 若用API密钥通过Pandas访问，需确保密钥权限包含objects:get操作

2. 修复CORS配置的生效问题 #

你的配置语法正确，但存在细节优化点：

• 配置保存后需等待3-5分钟生效，不要修改后立即测试
• 调整配置增加预检缓存时长，同时明确暴露常用Header：

  [
    {
      "AllowedOrigins": ["*"],
      "AllowedMethods": ["GET"],
      "AllowedHeaders": ["*"],
      "ExposeHeaders": ["Content-Type", "Content-Length"],
      "MaxAgeSeconds": 3600
    }
  ]
  

3. 处理Pandas请求头拦截问题 #

Pandas默认请求头可能被R2安全规则拦截，需手动模拟浏览器请求：

import pandas as pd
import requests

r2_file_url = "你的R2文件完整URL"
headers = {"User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36"}

response = requests.get(r2_file_url, headers=headers)
df = pd.read_csv(pd.compat.StringIO(response.text))

4. 满足字体文件的特殊CORS要求 #

浏览器加载字体对CORS有额外限制：

• 若不用通配符*，可在AllowedOrigins中指定你的HTML页面域名（如["https://your-domain.com"]）
• 检查R2字体文件的Content-Type是否正确：.woff2对应font/woff2，.ttf对应font/ttf，错误类型会触发浏览器拦截

5. 排查代理层的CORS配置 #

若通过Cloudflare Workers/自定义域名反向代理访问R2，需在代理层补充CORS响应头：

addEventListener('fetch', event => {
  event.respondWith(handleRequest(event.request))
})

async function handleRequest(request) {
  const response = await fetch(request)
  const newHeaders = new Headers(response.headers)
  newHeaders.set('Access-Control-Allow-Origin', '*')
  newHeaders.set('Access-Control-Allow-Methods', 'GET')
  return new Response(response.body, {
    status: response.status,
    headers: newHeaders
  })
}

内容的提问来源于stack exchange，提问作者Reungu Ju