为什么选择 CloudFlare-ImgBed#

相比传统图床程序，CloudFlare-ImgBed 更吸引我的地方在于：

• 界面更现代
• 支持文件管理、目录、鉴权、API 等，更接近一套完整的托管系
• 支持多种存储后端，兼容性强，选择多样
• 对 Cloudflare 生态更友好，整体设计思路和现代边缘部署方式更契合
• 架构更灵活，程序本体负责上传、管理和生成链接；对象存储负责保存文件

为什么搭配阿里云 OSS#

在底层存储上，没有继续走 R2，而是选择了 阿里云 OSS，原因是：

• 国内访问场景下，通常更容易获得稳定速度
• 更方便接入阿里云生态
• 自定义域名、权限控制、生命周期规则这些能力更成熟
• 后续如果要加 ESA，整体链路也会更自然

整体架构#

上传链路：
浏览器 / CloudFlare-ImgBed 后台
   ↓
CloudFlare-ImgBed
   ↓
阿里云 OSS Bucket

访问链路：
用户
   ↓
img.example.com（自定义访问域名）
   ↓
CDN / ESA（可选）
   ↓
阿里云 OSS Bucket

这里把 CloudFlare-ImgBed 当成上传与管理后台，真正的文件存储和最终访问层交给 OSS + CDN / ESA 处理。

方案一：Cloudflare 部署#

官方部署指南：

方案二：Docker 部署#

官方部署指南

CloudFlare-ImgBed 部署到 Docker

Docker 部署适合有自己服务器的用户，提供更多的控制权和自定义能力。

🔗cfbed.sanyue.de

CloudFlare-ImgBed

sudo mkdir -p /opt/cloudflare-imgbed
cd /opt/cloudflare-imgbed

sudo mkdir -p data

sudo vim /opt/cloudflare-imgbed/docker-compose.yml

1
services:
2
  cloudflare-imgbed:
3
    image: marseventh/cloudflare-imgbed:latest
4
    container_name: cloudflare-imgbed
5
    restart: unless-stopped
6
    ports:
7
      - "7658:8080"
8
    volumes:
9
      - ./data:/app/data

docker compose up -d

docker ps
docker compose logs -f

配置 Nginx#

创建站点配置文件：

sudo vim /etc/nginx/conf.d/cloudflare-imgbed.conf

1
server {
2
    listen 80;
3
    # 图床域名
4
    server_name imgbed.example.com;
5
    # 将所有 http 请求 301 永久重定向到 https
6
    return 301 https://$host$request_uri;
7
}
8

9
server {
10
    listen 443 ssl http2;
11
    server_name imgbed.example.com;
12

13
    # 图床域名 SSL 证书路径
14
    ssl_certificate     /etc/nginx/ssl/imgbed.example.com/fullchain.pem;
15
    ssl_certificate_key /etc/nginx/ssl/imgbed.example.com/privkey.pem;
16

17
    # 关闭 session ticket，减少某些 TLS 会话复用带来的安全隐患
18
    ssl_session_tickets off;
19
    ssl_prefer_server_ciphers off;
20

21
    # 日志
22
    access_log /var/log/nginx/imgbed.example.com.access.log;
23
    error_log /var/log/nginx/imgbed.example.com.error.log warn;
24

25
    # 允许上传的最大请求体大小
26
    client_max_body_size 128M;
27

28
    location / {
29
      # 代理请求到 CloudFlare-ImgBed 容器
30
      proxy_pass http://127.0.0.1:7658;
31

32
      proxy_http_version 1.1;
33
      proxy_set_header Host $host;
34
      proxy_set_header X-Real-IP $remote_addr;
35
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
36
      proxy_set_header X-Forwarded-Proto https;
37
      proxy_set_header X-Forwarded-Host $host;
38
      proxy_set_header X-Forwarded-Port 443;
39

40
      # 连接上游超时时间
41
      proxy_connect_timeout 60s;
42
      proxy_send_timeout 60s;
43
      proxy_read_timeout 60s;
44

45
      # 关闭代理缓冲
46
      proxy_buffering off;
47
    }
48
}

检查并重载 Nginx：

nginx -t
nginx -s reload

完成首次初始化#

浏览器打开访问管理后台安全设置示例：https://imgbed.example.com/systemConfig#security

管理后台默认无需密码，登录后请及时设置管理员用户名和密码。

进入后台后，先完成管理员账号、站点标题、上传设置等基础初始化。

确认以下几点：

• 管理后台可以正常登录
• 上传页面可以正常打开
• 系统设置可以正常保存
• 本体服务已经稳定运行

创建 Bucket#

在阿里云 OSS 控制台中：

1. 进入 OSS 对象存储
2. 创建 Bucket

关闭阻止公共访问

读写权限修改为公共读

创建访问密钥#

CloudFlare-ImgBed 接入阿里云 OSS 时，需要一组可编程访问 OSS 的身份凭证：

• AccessKey ID
• AccessKey Secret

这组凭证用于程序调用 OSS API，不能用于登录阿里云控制台。需要特别注意的是，AccessKey Secret 只会在创建时显示一次，后续无法再次查看，所以创建后必须立刻妥善保存。

建议

不要直接为主账号创建访问密钥，而是专门为图床程序创建一个 RAM 用户。

1
{
2
  "Version": "1",
3
  "Statement": [
4
    {
5
      "Effect": "Allow",
6
      "Action": [
7
        "oss:ListObjects"
8
      ],
9
      "Resource": [
10
        "acs:oss:*:*:image-example"
11
      ]
12
    },
13
    {
14
      "Effect": "Allow",
15
      "Action": [
16
        "oss:GetObject",
17
        "oss:PutObject",
18
        "oss:DeleteObject"
19
      ],
20
      "Resource": [
21
        "acs:oss:*:*:image-example/*"
22
      ]
23
    }
24
  ]
25
}

配置 OSS 自定义域名#

正式环境更推荐用自定义域名，不建议长期直接暴露默认访问域名。

进入配置页面#

管理后台 -> 系统设置 -> 上传设置

管理后台上传设置地址示例：https://imgbed.example.com/systemConfig#upload

点击右上角添加渠道。

配置 OSS 存储桶#

保持 OSS Bucket 为私有#

这里不要把 Bucket 改成公共读，保持默认私有即可。

• 禁止匿名用户直接访问 OSS
• 让 ESA 成为唯一的对外访问入口
• 避免用户绕过 ESA 直接刷 OSS 源站

在 ESA 中添加 OSS 源站#

在 ESA 中配置图片域名时：

• 源站类型：选择 OSS
• 源站地址：填写 Bucket 对应的 OSS 外网域名
• 访问类型（Access Type）：选择
  • 私有访问-同账号：ESA 和 OSS 在同一个阿里云账号下
  • 私有访问-跨账号：ESA 和 OSS 不在同一个账号下

OSS 作为 ESA 源站时，应填写 OSS 外网域名。

完成 ESA 对私有 Bucket 的授权

首次启用 私有 Bucket 回源 时，ESA 控制台会提示你完成授权。

• 用户本身没有私有 Bucket 的读取权限
• ESA 被授权读取私有 Bucket
• 回源签名由 ESA 自动处理

CloudFlare-ImgBed 中的 CDN 域名要改成 ESA 域名#

在 CloudFlare-ImgBed 的 S3 渠道配置里：CDN 域名应该写成 ESA 图片域名

这套架构里：

• 上传目标：私有 OSS
• 公开访问 URL：ESA 域名
• 最终图片链接：CloudFlare-ImgBed 输出的 ESA 链接