【笔记】阿里云OSS

阿里云存储服务（Open Storage Service，简称OSS），提供非结构化数据存取的服务。用户可以通过调用API，在任何应用、任何时间、任何地点上传和下载数据，也可以通过用户Web控制台对数据进行简单的管理。OSS适合存放任意文件类型，适合各种网站、开发企业及开发者使用。

基本概念：



权限控制：
OSS提供ACL（Access Control List）权限控制方法，OSS ACL提供bucket级别的权限访问控制，bucket目前有三种访问权限：
1）public-read-write：任何人（包括匿名访问）都可以对该bucket中的object进行PUT，Get和Delete操作；所有这些操作产生的费用由该bucket的创建者承担，请慎用该权限。
2）public-read：只有该bucket的创建者可以对该bucket内的object进行写操作（包括Put和Delete Object）；任何人（包括匿名访问）可以对该bucket中的object进行读操作（Get Object）。
3）private：只有该bucket的创建者可以对该bucket内的object进行读写操作（包括Put、Delete和Get Object）；其他人无法访问该bucket内的object。

图片处理服务：
阿里云OSS图片处理服务对外提供RESTful接口，OSS的用户可以调用这些RESTful接口，在任何时间、任何地点、任何互联网设备上都能对已经保存在OSS上的原始图片进行图片处理。OSS图片处理服务将会根据用户请求，实时地将用户的原图转换成需要生成的处理图片并发送给用户。


生命周期管理（清理策略）：
OSS提供Object生命周期管理来为用户管理对象。用户可以为某个Bucket定义生命周期配置，来为该Bucket的Object定义各种规则，便于对数据进行统筹管理。目前，用户可以通过规则来删除相匹配的Object。


跨域资源共享：
OSS提供HTML5协议中的跨域资源共享CORS设置，帮助用户实现跨域访问。


静态网站托管：
您可以通过OSS将自己的bucket配置成静态网站托管模式，并通过Bucket域名访问该静态网站。



防盗链设置（访问白名单）：
OSS是按使用量收费的服务，为了减少用户存储于OSS的数据被其他人盗链而产生额外费用。OSS支持基于HTTP header中表头字段referer的防盗链方法。


域名绑定：
目前仅支持OSS以三级域名访问方式进行绑定。即您的OSS访问方式为（Bucket name）.${region}.aliyuncs.com, 具体region的写法可以参考后续每个区域域名表示。如您的OSS Bucket未绑定域名则您通过浏览器访问文件URL，则强制为下载模式。


访问身份验证：
阿里云OSS是一个REST服务，每一次向OSS的请求根据当前Bucket权限和操作不同要求用户进行身份验证或者直接匿名访问。
1）OSS通过使用AccessKey ID/ AccessKey Secret对称加密的方法来验证某个请求的发送者身份。
2）AccessKey ID用于标示用户，AccessKey Secret是用户用于加密签名字符串和OSS用来验证签名字符串的密钥，其中AccessKey Secret必须保密，只有用户和OSS知道。AccessKey ID和 AccessKey Secret统称为AccessKey。
3）当用户想以个人身份向OSS发送请求时，需要首先将发送的请求按照OSS指定的格式生成签名字符串；然后使用AccessKey Secret对签名字符串进行加密产生验证码。 OSS收到请求以后，会通过AccessKey ID找到对应的AccessKey Secret，以同样的方法提取签名字符串和验证码，如果计算出来的验证码和提供的一样即认为该请求是有效的；否则，OSS将拒绝处理这次请求，并返回HTTP 403错误。

AccessKey类型：
1）阿里云账户AccessKey
每个阿里云账号提供的AccessKey拥有对拥有的资源有完全的权限。每个阿里云账号能够可以同时拥有0至5个active或者inactive的AK对（Access Key ID和AccessKey Secret）。


2）RAM账号AccessKey
RAM (Resource Access Management) 是阿里云提供的资源访问控制服务。通过RAM，您可以集中管理您的用户（比如员工、系统或应用程序），以及控制用户可以访问您名下哪些资源的权限。比如能够限制您的用户只拥有对某一个Bucket的读权限。在您阿里云账户下面，通过RAM可以创建具有自己AccessKey的用户。您的阿里云账号被称为根账户，创建的账号被称为RAM账户。使用该RAM账户的AccessKey只能使用根账号指定的操作和资源。

3）STS (Security Token Service) 服务为阿里云账号（或RAM用户）提供短期访问权限管理。您不需要透露云账号（或RAM用户）的长期密钥（如登录密码、AccessKey），只需要生成一个短期访问凭证给联盟用户使用即可。这个凭证的访问权限及有效期限都可以由您自定义。您不需要关心权限撤销问题，访问凭证过期后会自动失效。用户通过STS生成的凭证包括安全令牌(SecurityToken)、临时访问密钥(AccessKeyId, AccessKeySecret)。使用AccessKey方法与您在使用阿里云账户或RAM用户AccessKey发送请求时的方法相同。此外还需要注意的是在每个向OSS发送的请求中还必须携带安全令牌。




分享文件：
点击对应文件的获取地址，会弹出一个object 地址信息，其中地址链接可以是在公网访问到的。别人点击这个链接就可以下载到这个文件了，但是会产生流量费用，如果Bucket的读写权限为“私有”，则在您获取文件访问URL时需设置链接有效时间。