SaaS 文档上传架构：浏览器直传、CORS 与签名 URL 怎么选

私有 SaaS 文档上传应小文件走服务端中转、大文件由后端签发 presigned URL，避免在无法自行配置 CORS 时让浏览器直传存储。后端需创建上传意图并记录租户、bucket 与 key，客户端上传后再回调确认，只有校验到该对象才把记录从 pending 改为 ready。下载同样由后端授权后签发临时链接，对象保持私有。