CloudFront分发S3静态内容选S3Origin还是CustomOrigin？

你遇到的403问题本质是源类型和S3桶的访问模式不匹配：开了静态网站托管的S3只对外提供HTTP公网访问端点，配S3OriginConfig时CloudFront会走S3内网REST API接口回源，协议不匹配就会直接返回403，控制台切到对应源类型后链路通了自然恢复正常。

两种模式在性能、成本、灵活性上的具体差异如下：

性能差异 #

• 回源链路：S3 Origin（对应S3OriginConfig，对接未开静态托管的S3桶）走AWS私有骨干网的内网REST接口，CloudFront边缘节点直连S3网关，没有公网解析、公网转发的额外开销，平均回源延迟比Custom Origin模式低10~30ms，大流量场景下延迟差会进一步拉大。Custom Origin（对应CustomOriginConfig，对接开了静态托管的S3桶）走S3静态站点的公网端点，回源需要经过公网DNS解析、公网链路转发，延迟更高也更容易出现公网链路抖动。
• 缓存效率：S3 Origin原生适配CloudFront的分片缓存、范围请求、增量缓存特性，大文件（音视频、安装包、大体积JS包）分发时缓存命中率普遍比Custom Origin模式高15%~25%。Custom Origin模式下S3静态端点对范围请求的响应头存在兼容限制，部分场景下CloudFront无法正常做分片缓存，大文件回源率会明显升高。
• 流量突发承载：S3 Origin默认走S3为CloudFront预留的专属回源带宽池，突发大流量时不会被限流；Custom Origin走S3静态站点的公网带宽池，流量突增时可能触发S3公网端点的限流，出现5xx错误。

成本差异 #

• 回源流量成本：这是两者最大的成本差。S3 Origin模式下回源流量全走AWS内网，S3侧不收取任何公网流出流量费，仅需要支付CloudFront的边缘流出流量费；Custom Origin模式下S3到CloudFront的流量走公网，需要额外支付S3的公网流出费用，这部分成本大概是CloudFront边缘流量费的1/4~1/3，月流量在TB级以上时成本差会非常明显。
• 请求成本：两种模式的回源请求费完全一致，都按S3标准API请求费率收取，没有差异。
• 附加成本：S3 Origin原生支持OAC源访问控制，不需要额外配置就能实现S3桶完全禁公网、仅允许指定CloudFront分发访问，没有额外成本；Custom Origin模式下S3静态站点必须开公网访问，要做源站权限隔离就得额外配置自定义鉴权头、Lambda@Edge校验，会产生额外的计算成本。

灵活性差异 #

• 静态托管特性兼容：这是Custom Origin模式的核心优势。它完全支持S3静态托管的所有原生能力，包括根路径默认跳index.html、自定义错误文档、路径重定向、路由规则重写，SPA单页应用不用额外配置就能解决前端路由刷新404的问题。S3 Origin模式本身不支持这些静态托管逻辑，SPA场景必须手动配置CloudFront的自定义错误响应，把403/404状态码重写到/index.html才能兼容前端路由，也不支持S3原生的重定向、条件路由规则。
• 权限管控能力：S3 Origin的权限配置成本极低，配合OAC可以实现严格的最小权限访问，完全杜绝公网直接访问S3桶的可能；Custom Origin模式下S3静态站点必须开放公网，没法通过S3原生策略限制仅CloudFront访问，很容易出现绕过CloudFront直接访问源站的权限漏洞，额外做鉴权的配置成本很高。
• 自定义配置空间：Custom Origin本质是通用HTTP源，支持自定义回源Host头、非标准端口回源、多路径映射等灵活配置；S3 Origin的回源协议、Host头都是固定适配S3 REST接口的，不支持自定义非标准端口，路径映射只能靠CloudFront的源路径前缀配置实现，灵活度更低。

选型参考 #

• 纯静态资源分发（图片、音视频、普通静态页面、无前端路由的站点）优先选S3 Origin模式，性能更优、成本更低、安全配置更简单。
• 如果是SPA单页应用、重度依赖S3静态托管的重定向/路由能力，不想额外配置CloudFront错误规则或边缘计算逻辑，可以选Custom Origin模式，注意一定要配置自定义鉴权头防止源站被直接访问产生额外流量费。

内容的提问来源于stack exchange，提问作者JHH