diff --git a/lib/admin_taxonomy.php b/lib/admin_taxonomy.php
index 8aed2c1..9fa9a5c 100644
--- a/lib/admin_taxonomy.php
+++ b/lib/admin_taxonomy.php
@@ -19,12 +19,8 @@ if (!defined('FB_ROOT')) { http_response_code(403); exit('forbidden'); }
  * 对外一律 media.php?k=... 代理，不暴露真实位置。
  * ================================================================== */
 
-/** 图标允许的扩展名（比附件白名单窄：图标不需要 gif 动图，也不要 svg） */
-function fb_icon_allowed_ext() {
-    // ⚠️ 刻意不收 svg：SVG 能内嵌 <script>，一旦被当图片直出到浏览器就是 XSS。
-    // 图标是管理员自己传的，但防线不该依赖「管理员不会传坏东西」。
-    return ['png', 'jpg', 'jpeg', 'webp'];
-}
+/** 图标允许的扩展名 —— 定义在 lib/attach.php（fb_icon_allowed_ext），
+ *  因为 media.php 与 CLI 场景也会用到，不能依赖这个后台文件被加载。 */
 
 /**
  * 保存一个上传的图标文件，返回 [bool ok, string 值(键或错误信息), string mime]。
@@ -77,6 +73,16 @@ function fb_icon_store_upload(array $file) {
 
     $key = fb_icon_make_key($ext);
 
+    /* 断言：键的前缀必须与当前存储方式一致。
+     * 这两者一旦脱钩，就会出现「文件写进 uploads/ 但 media.php 去 OSS 找」的 503 ——
+     * 早期把键硬编码成 icons/… 就是这么坏的。宁可当场报错，也不要静默存错位置。 */
+    if ($mode === 'local' && !fb_attach_is_local($key)) {
+        return [false, '内部错误：本地模式下生成了非本机路径的图标键。', ''];
+    }
+    if ($mode === 'oss' && fb_attach_is_local($key)) {
+        return [false, '内部错误：OSS 模式下生成了本机路径的图标键。', ''];
+    }
+
     if ($mode === 'local') {
         if (!fb_local_writable()) { return [false, '本机附件目录不可写（uploads/），无法保存图标。', '']; }
         $path = fb_local_path_of($key);
diff --git a/lib/attach.php b/lib/attach.php
index b01bf79..305b891 100644
--- a/lib/attach.php
+++ b/lib/attach.php
@@ -152,34 +152,63 @@ function fb_attach_is_local($key) {
 /* ==================================================================
  * 软件图标（管理员上传的图片）
  * ------------------------------------------------------------------
+ * 🔴 存储位置【跟随后台配置】，与附件完全同一套规则：
+ *      attachment.storage = local → local/icons/YYYY/MM/<hex>.<ext>  写 uploads/
+ *      attachment.storage = oss   → <oss.prefix>/icons/YYYY/MM/<hex>.<ext> 写私有桶
+ *    管理员在后台配的哪种，图标就存哪种；前台地址两种模式完全一致，
+ *    都是 media.php?k=... 代理，换存储方式不会让已有图标失效。
+ *
+ *    早期实现把图标键固定写成 `icons/...`（不带 local/ 前缀），
+ *    结果 fb_attach_is_local() 永远返回 false —— 本机模式下文件明明写进了
+ *    uploads/icons/，media.php 却当成 OSS 对象去读，直接 503。
+ *    这是「本地存储时图标显示不出来」的根因，键必须带存储前缀。
+ *
  * 为什么不复用普通附件：
  *   普通附件必须挂在某条 thread 下才允许被 media.php 读出（否则本站就成了
  *   「能读整个桶」的开放代理）。软件图标不属于任何帖子，用它那套鉴权会被拒。
- *
- * 于是单独给一个键空间 `icons/`，并且：
- *   ① 只有管理员能写入（后台动作 + 登录校验）；
- *   ② media.php 对 `icons/` 前缀只做「合法键 + 文件存在」判断，不做帖子鉴权；
- *   ③ 键的形状强约束成 icons/YYYY/MM/<16hex>.<ext>，无法穿越、无法指向别处。
- * 图标本来就是公开信息（每个访客都能看到），不需要保密，只需要防写入。
- */
+ *   于是键里多一段 `icons/`，media.php 据此识别并按公开资源处理（写入仍受控）。
+ * ================================================================== */
 function fb_icon_key_prefix() {
     return 'icons/';
 }
 
-/** 这个键是不是软件图标 */
-function fb_icon_is_key($key) {
-    return strpos((string)$key, fb_icon_key_prefix()) === 0;
+/**
+ * 图标允许的扩展名（比附件白名单窄：图标不需要 gif 动图）。
+ * ⚠️ 刻意不收 svg：SVG 能内嵌 <script>，一旦被当图片直出到浏览器就是 XSS。
+ *    图标是管理员自己传的，但防线不该依赖「管理员不会传坏东西」。
+ *
+ * 定义在这里而不是 admin_taxonomy.php：media.php 与校验函数都会用到，
+ * 不能依赖后台那个文件被加载（它在 bootstrap 里并不 require）。
+ */
+function fb_icon_allowed_ext() {
+    return ['png', 'jpg', 'jpeg', 'webp'];
 }
 
-/** 生成一个图标对象键（始终为本机前缀，OSS 模式在写入时换前缀） */
+/** 这个键是不是软件图标（local/icons/… 或 <prefix>/icons/…） */
+function fb_icon_is_key($key) {
+    return (bool)preg_match('#^(?:local|[A-Za-z0-9][A-Za-z0-9._-]*)/icons/#', (string)$key);
+}
+
+/**
+ * 生成一个图标对象键 —— 存储位置由后台配置决定，与附件一致。
+ * local 模式带 `local/` 前缀，OSS 模式带 oss.prefix 前缀；
+ * 两种都能被 fb_attach_is_local() / fb_local_path_of() 正确解析。
+ */
 function fb_icon_make_key($ext) {
-    $ext = strtolower(preg_replace('/[^A-Za-z0-9]/', '', (string)$ext));
-    return fb_icon_key_prefix() . date('Y/m') . '/' . bin2hex(random_bytes(8)) . '.' . $ext;
+    $ext  = strtolower(preg_replace('/[^A-Za-z0-9]/', '', (string)$ext));
+    $leaf = fb_icon_key_prefix() . date('Y/m') . '/' . bin2hex(random_bytes(8)) . '.' . $ext;
+
+    if (fb_store_mode() === 'local') {
+        return 'local/' . $leaf;
+    }
+    $prefix = trim((string)fb_cfg('oss.prefix', 'fb'), '/');
+    if ($prefix === '') { $prefix = 'fb'; }
+    return $prefix . '/' . $leaf;
 }
 
 /**
  * 图标键是否合法。
- * 与 fb_upload_key_ok 分开写：图标键不落在 local/ 也不落 oss.prefix 下，
+ * 与 fb_upload_key_ok 分开写：图标键在附件键的基础路径里多一段 icons/，
  * 塞进原函数会被判为不合法。
  *
  * 🔴 扩展名必须是白名单里的图片类型，不能只写 `[a-z0-9]{2,5}` ——
@@ -190,13 +219,16 @@ function fb_icon_key_ok($key) {
     $key = (string)$key;
     if (strlen($key) < 16 || strlen($key) > 200) { return false; }
     if (strpos($key, '..') !== false || strpos($key, '//') !== false) { return false; }
-    if (!preg_match('#^icons/\d{4}/\d{2}/[a-f0-9]{16}\.([a-z0-9]{2,5})$#', $key, $m)) { return false; }
-    return in_array(strtolower($m[1]), ['png', 'jpg', 'jpeg', 'webp'], true);
+    if (!preg_match('#^(?:local|[A-Za-z0-9][A-Za-z0-9._-]*)/icons/\d{4}/\d{2}/[a-f0-9]{16}\.([a-z0-9]{2,5})$#', $key, $m)) {
+        return false;
+    }
+    return in_array(strtolower($m[1]), fb_icon_allowed_ext(), true);
 }
 
 /**
  * 图标图片的【对外地址】—— 一律走 media.php 代理。
  * 与附件完全同一套约定：不暴露 uploads/ 真实路径，也不暴露任何 OSS 痕迹。
+ * 两种存储模式对外都是这一个形态，所以换存储方式不影响已显示的图标。
  *
  * @param string $key 图标对象键
  * @param int    $w   期望宽度（0=原图）。OSS 模式下交给服务端缩放；本机模式忽略。
diff --git a/lib/bootstrap.php b/lib/bootstrap.php
index a18dbc0..e45a419 100644
--- a/lib/bootstrap.php
+++ b/lib/bootstrap.php
@@ -8,7 +8,7 @@ if (!defined('FB_ROOT')) {
     define('FB_ROOT', dirname(__DIR__));
     // 静态资源版本号：改 assets/ 下的 css/js 后把这个数字 +1，
     // 让浏览器与 CDN 缓存失效。全站只此一处，别再往页面里写死数字。
-    if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 18); }
+    if (!defined('FB_ASSET_V')) { define('FB_ASSET_V', 19); }
 }
 
 /* ------------------------------------------------------------------