使用归因短链分发CloudFront签名URL时，短链追加的归因参数会导致签名校验失败、下载返回403，原因是canned policy按实际请求URL现场拼接Resource进行校验，多一个参数即失败。解法是改用custom policy，将Resource写为“精确路径?*”，仅放开query段而锁定路径，并关闭query string转发，以避免影响缓存命中率和源站安全。