Object Storage Service：許可權與存取控制概述

ACL

ACL（存取控制清單）通過預定義的許可權等級控制資源的公開或私人狀態，是最簡單的許可權控制方式。

Bucket ACL控制儲存空間的預設存取權限，Object ACL控制單個對象的許可權（優先順序更高），Object ACL未指定時預設繼承Bucket ACL。支援以下許可權等級：

ACL僅支援預定義等級，無法指定授權對象或條件限制。如需精細控制，請使用Bucket Policy或RAM Policy。

Bucket Policy

Bucket Policy是配置在Bucket上的授權策略，定義誰可以訪問此Bucket中的資源。支援授權給RAM使用者、其他阿里雲帳號或匿名使用者，並可設定IP地址、VPC、時間等條件限制。

當需要授權多個使用者訪問同一Bucket時，單條Bucket Policy即可完成，無需為每個使用者單獨配置。

實踐教程：基於VPC Policy和Bucket Policy實現雙重存取控制 ｜ 基於Bucket Policy實現跨部門資料共用

RAM Policy

RAM Policy是綁定到使用者身份上的授權策略，定義該使用者可以訪問哪些OSS資源，適合統一管理某個使用者或應用在多個Bucket上的許可權。

OSS提供系統策略（如AliyunOSSFullAccess、AliyunOSSReadOnlyAccess）可直接使用，也支援自訂策略。通過RAM角色可實現跨帳號訪問和STS臨時授權。

實踐教程：基於RAM角色實現跨帳號訪問OSS ｜ 基於RAM Policy控制OSS的存取權限

Bucket Policy與RAM Policy區別

選擇建議：授權多個使用者訪問同一資源時Bucket Policy更高效；管理單個使用者的所有資源許可權時RAM Policy更直觀；需要匿名訪問時只能用Bucket Policy。兩者可同時使用，OSS會綜合評估，都允許時請求才通過。

存取點

存取點（Access Point）為Bucket提供獨立的訪問入口。當一個Bucket需要被多個應用或團隊以不同許可權訪問時，可為每個訪問方建立獨立的存取點，通過存取點策略（AP Policy）分別管理各自的許可權，避免在單一Bucket Policy中維護複雜的規則。

每個存取點擁有獨立的訪問網域名稱、AP Policy和網路限制配置。使用者通過存取點訪問時，需要RAM Policy與Bucket Policy的合并結果為Allow，且AP Policy也為Allow，請求才通過。

阻止公用訪問

阻止公用訪問開啟後，即使ACL或Bucket Policy配置了公開授權也不會生效，防止因誤配置導致資料泄露。可在帳號層級（作用於所有Bucket）、Bucket層級或存取點層級獨立配置，優先順序依次遞減。

儲存敏感性資料且無匿名訪問需求時，建議在帳號層級開啟此功能。

防盜鏈

防盜鏈通過校正HTTP要求標頭中的Referer欄位，阻止未授權網站引用OSS資源。支援白名單模式（僅允許指定網域名稱）和黑名單模式（拒絕指定網域名稱）。適用於防止圖片、視頻等資源被盜用。

跨網域設定

瀏覽器預設禁止網頁JavaScript訪問不同網域名稱的資源。通過配置CORS規則，OSS會在響應中返回允許跨域的頭資訊，使瀏覽器允許存取請求。適用於前端直傳檔案、擷取資源等情境。