自查命令（AWS S3 示例）
自查命令（AWS S3 示例）
# 列出所有桶
aws s3 ls
# 检查桶级公开访问阻断与 ACL
aws s3api get-public-access-block --bucket my-bucket
aws s3api get-bucket-acl --bucket my-bucket
# 阿里云 OSS / 腾讯云 COS：控制台『Bucket 列表 → 读写权限』逐桶核对| 高频问题 | 桶策略允许 * 读取；CDN 回源桶未做鉴权 |
|---|---|
| 收敛 | 默认私有 + 按需签名 URL/STS 临时凭证 |
| 监控 | 对桶策略变更开启操作审计与告警 |
对象存储的公开访问会绕过 Web 防护直达数据：它比端口暴露更隐蔽，因为它不监听端口。