- 权限：桶默认私有；公共读需审批；严禁公共读写
- 账号：程序用 RAM 子账号 + 最小权限策略，禁用主账号 AK
- 加密：敏感数据开启服务端加密（SSE-KMS 或 SSE-OSS）
- 审计：开启访问日志与操作审计，监控异常 GET/PUT 峰值
- 防护：限制 Referer、强制 HTTPS、设置 CORS 白名单
- 恢复：版本控制 + 跨区域复制；定期做恢复演练
- 治理：生命周期规则清理过期数据与旧版本
快速核查桶权限（ossutil）
快速核查桶权限（ossutil）
ossutil ls oss://my-bucket/ --acl做过一次『临时公共读』调试就忘记关闭，是最常见的对象存储泄露来源；把检查做成例行任务。