| ACL | 私有（默认）/公共读/公共读写；公共读写几乎不应使用 |
|---|---|
| 桶策略 | JSON Policy：Principal + Action + Resource + Condition |
| 组合 | 接口调用要同时通过 RAM 授权与桶策略；两者取交集 |
| 加固 | 限制 Referer、强制 HTTPS（SecureTransport）、限制源 VPC |
允许匿名只读某前缀的桶策略片段
允许匿名只读某前缀的桶策略片段
{
"Version": "1",
"Statement": [{
"Effect": "Allow",
"Principal": ["*"],
"Action": ["oss:GetObject"],
"Resource": ["acs:oss:*:*:my-bucket/public/*"]
}]
}一旦误设公共读写，任何人都能上传/覆盖/删除文件；定期用配置审计扫描公共访问权限。