桶策略片段（允许指定网段只读）
桶策略片段（允许指定网段只读）
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Principal": ["*"],
"Action": ["oss:GetObject"],
"Resource": ["acs:oss:*:*:my-app-assets/public/*"],
"Condition": {"IpAddress": {"acs:SourceIp": ["203.0.113.0/24"]}}
}
]
}把 Principal 设为 * 且 Action 含 PutObject/DeleteObject，等于开放公网读写；每次变更后做一次匿名访问验证。