一、开通OSS服务与前期准备
在使用阿里云对象存储OSS之前，首先需要完成账号注册与服务开通。整个流程并不复杂，但有几个关键步骤需要特别留意。
1.1 账号注册与实名认证
访问阿里云官网，使用手机号或邮箱完成账号注册。注册成功后，需要完成实名认证——个人实名或企业实名均可，这是使用绝大多数云产品的前置条件。未实名的账号通常无法完整使用云产品，或会面临权限受限的问题。
1.2 开通OSS服务
登录阿里云控制台后，在产品与服务列表中找到“对象存储OSS”，首次进入时会提示开通服务，按引导完成开通即可。新用户通常可以享受一定量的免费额度，具体以官网活动页面为准。
需要先登录阿里云控制台，点击：阿里云控制台
二、创建Bucket（存储空间）
Bucket是OSS中存储数据的容器，相当于文件系统的根目录。创建Bucket时涉及的参数选择会直接影响后续的使用体验和成本。
2.1 创建入口与命名规范
在OSS控制台左侧导航栏点击“Bucket列表”，然后点击“创建Bucket”。Bucket名称需要全局唯一——在整个阿里云范围内不能与其他用户的Bucket重名。命名规则：仅支持小写字母、数字和短横线（-），建议采用“项目名-环境-用途”的格式，例如myapp-prod-assets。
2.2 地域选择
地域（Region）的选择非常关键。建议遵循“就近原则”：如果您的应用服务器部署在华东2（上海），那么Bucket也选择华东2（上海）。同地域的阿里云产品（如ECS、ACK等）访问OSS可以通过内网Endpoint，完全免收流量费。如果选错了地域，后续虽然可以通过传输加速等功能优化，但会额外产生费用。
2.3 存储类型
OSS提供多种存储类型，最常用的是“标准存储”，适合高频访问的热数据。如果您存储的是访问频率很低的数据（如备份归档），可以考虑“低频访问”或“归档存储”以降低成本。存储类型在创建后仍然可以通过生命周期规则进行转换，但转换本身可能产生费用。
2.4 读写权限（ACL）
强烈建议选择“私有”（Private）。私有权限下，所有文件的访问都需要经过身份验证，默认情况下外部无法直接访问。只有明确需要公开访问的场景（如静态网站托管）才考虑设置为“公共读”，且需要配合其他安全措施。自2025年10月13日起，OSS开始分阶段为所有通过API、SDK或ossutil创建的新Bucket默认启用“阻止公共访问”。这意味着即使您尝试将Bucket设置为公共读，默认情况下也会被阻止，需要在创建后手动关闭该限制。
2.5 版本控制
版本控制功能可以记录Object的每次覆盖和删除操作，方便数据回滚。对于重要的生产数据，建议开启。但需要注意，开启版本控制后，历史版本也会持续计费，需要配合生命周期规则清理过期版本。
创建完成后，请记录以下关键信息：Bucket名称、地域（Region）、Endpoint（地域对应的服务访问地址）。这些信息在后续的SDK配置中都会用到。
三、文件上传：多种方式任你选
OSS支持多种文件上传方式，从最简单的控制台拖拽到自动化CI/CD集成，覆盖了从个人开发者到企业级应用的全场景需求。
3.1 控制台上传（适合小项目与测试）
进入Bucket详情页的“文件管理”页面，可以直接将本地文件或文件夹拖拽到上传区域。这种方式适合小规模测试或临时文件分享，操作直观，无需安装任何工具。
3.2 ossutil命令行工具（推荐自动化场景）
ossutil是阿里云官方提供的命令行工具，支持批量上传、增量同步、断点续传等高级功能。
安装步骤（macOS/Linux）：
curl https://gosspublic.alicdn.com/ossutil/1.7.19/ossutil64 -o ossutil chmod +x ossutil
配置AccessKey：
./ossutil config
增量同步本地目录到Bucket：
./ossutil sync dist/ oss://my-bucket/ \ --delete \ --force \ --jobs 10
其中--delete表示删除OSS中本地已不存在的文件，--jobs 10表示并发上传数。通过ossutil，可以很轻松地将CI/CD流水线中的构建产物自动部署到OSS。
3.3 Python SDK上传
Python SDK是使用最广泛的OSS接入方式之一。官方推荐使用V2版本，要求Python 3.8及以上。
安装SDK：
pip install alibabacloud-oss-v2
配置环境变量（以Linux/macOS为例）：
export OSS_ACCESS_KEY_ID="YOUR_ACCESS_KEY_ID" export OSS_ACCESS_KEY_SECRET="YOUR_ACCESS_KEY_SECRET"
上传文件的示例代码：
import alibabacloud_oss_v2 as oss # 初始化客户端 client = oss.Client( region="cn-hangzhou", endpoint="oss-cn-hangzhou.aliyuncs.com", credentials_provider=oss.credentials.EnvironmentVariableCredentialsProvider() ) # 上传文件 result = client.put_object( bucket="your-bucket-name", key="path/to/remote/object.txt", body=b"Hello, OSS!" ) print(f"ETag: {result.etag}")
3.4 Java SDK上传
Java SDK V2要求Java 8及以上版本。在Maven项目中添加依赖：
<dependency> <groupId>com.aliyun</groupId> <artifactId>alibabacloud-oss-v2</artifactId> <version>最新版本号</version> </dependency>
上传文件的示例代码：
import com.aliyun.oss.v2.Client; import com.aliyun.oss.v2.ClientBuilder; import com.aliyun.oss.v2.models.PutObjectRequest; import com.aliyun.oss.v2.models.PutObjectResult; public class OssUploadExample { public static void main(String[] args) { Client client = new ClientBuilder() .region("cn-hangzhou") .endpoint("oss-cn-hangzhou.aliyuncs.com") .build(); PutObjectRequest request = PutObjectRequest.builder() .bucket("your-bucket-name") .key("path/to/remote/object.txt") .body("Hello, OSS!".getBytes()) .build(); PutObjectResult result = client.putObject(request); System.out.println("ETag: " + result.getETag()); } }
3.5 Node.js SDK上传
对于前端或Node.js开发者，可以使用官方Node.js SDK。
安装：
npm install ali-oss
上传示例：
const OSS = require('ali-oss'); const client = new OSS({ region: 'oss-cn-hangzhou', accessKeyId: process.env.OSS_ACCESS_KEY_ID, accessKeySecret: process.env.OSS_ACCESS_KEY_SECRET, bucket: 'your-bucket-name' }); async function upload() { try { const result = await client.put('path/to/remote/object.txt', Buffer.from('Hello, OSS!')); console.log('Upload success:', result.url); } catch (err) { console.error('Upload failed:', err); } } upload();
四、访问文件：从私有到公开的多种方式
文件上传到OSS后，如何访问取决于Bucket的权限设置和您的业务需求。
4.1 私有文件的签名URL访问
对于私有Bucket中的文件，无法通过URL直接访问。需要生成带有过期时间的签名URL（预签名URL），将URL分享给授权用户。签名URL的有效期可以精确到秒，过期后自动失效。
Python SDK生成签名URL示例：
from alibabacloud_oss_v2 import Client from alibabacloud_oss_v2.models import GetObjectRequest client = Client(region="cn-hangzhou", endpoint="oss-cn-hangzhou.aliyuncs.com") # 生成有效期60秒的签名URL url = client.get_object_url( bucket="your-bucket-name", key="path/to/private/file.pdf", expires=60 ) print(f"临时访问链接: {url}")
使用签名URL时需要注意：如果使用STS临时凭证生成签名URL，有效时长以两者中较短者为准。
4.2 自定义域名绑定
生产环境中，通常不建议直接使用OSS提供的默认域名（bucket-name.oss-region.aliyuncs.com）对外提供服务。更好的做法是绑定自己的域名。
绑定步骤：
- 在OSS控制台的Bucket详情页找到“域名管理”
- 添加自定义域名（如
static.yourdomain.com） - 在DNS服务商处添加CNAME记录，将自定义域名指向Bucket的外网Endpoint
- 如果需要HTTPS访问，还需上传SSL证书
自2025年3月20日起，新开通OSS服务的用户在中国内地地域的Bucket将无法通过默认外网域名调用数据操作类API，需要通过自定义域名方式访问。这意味着绑定自定义域名正在从“建议”变为“必须”。
4.3 静态网站托管
OSS支持直接将Bucket配置为静态网站，省去维护Web服务器的麻烦。配置步骤：
- 将Bucket的读写权限设置为“公共读”
- 在“基础设置”中找到“静态网站托管”
- 设置默认首页为
index.html，默认404页也设置为index.html（适用于SPA单页应用）
配合阿里云CDN使用，可以将全国范围内的访问延迟控制在50ms以内。
五、安全管理：保护你的数据不被滥用
OSS的安全配置涉及多个层面，从身份认证到访问控制，从跨域配置到防盗链，每一个环节都不可忽视。
5.1 RAM子账号与最小权限原则
绝对不要在代码中硬编码主账号的AccessKey。正确的做法是创建RAM子账号，并只授予必要的权限。
创建RAM子账号的步骤：
- 进入“访问控制RAM”控制台
- 点击“用户” → “创建用户”
- 填写登录名，勾选“OpenAPI调用访问”
- 创建AccessKey，妥善保存AccessKeyId和AccessKeySecret
- 为RAM用户授权，至少授予目标Bucket的操作权限
如果只需要上传权限，可以自定义策略，而不是直接授予AliyunOSSFullAccess。最小权限策略模板示例：
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": ["oss:PutObject", "oss:GetObject"], "Resource": ["acs:oss:cn-hangzhou:123456789:your-bucket-name/*"] } ] }
5.2 Bucket Policy与访问控制
Bucket Policy是配置在Bucket上的授权策略，支持更精细的访问控制——可以指定允许或拒绝特定RAM用户、其他阿里云账号甚至匿名用户的访问，还可以设置IP地址、VPC、时间等条件限制。
5.3 CORS跨域配置
如果您的Web应用需要从浏览器直接上传或访问OSS资源，必须配置CORS规则。在Bucket的“数据安全” → “跨域设置”中创建规则：
- 来源（AllowedOrigin）：填写您的前端域名，如
https://app.yourdomain.com，测试阶段可暂时设为* - 允许Methods：根据实际需要勾选GET、POST、PUT、DELETE等
- 允许Headers：可设为
* - 暴露Headers：建议设置
ETag和x-oss-request-id
5.4 防盗链（Referer白名单）
为了防止其他网站盗用您的OSS资源链接，可以开启防盗链功能。在Bucket的“基础设置” → “防盗链”中：
- 启用防盗链
- 在Referer白名单中添加允许访问的域名（每行一个）
- 选择是否允许空Referer访问
需要注意的是，防盗链只能防止普通浏览器场景下的盗用，无法防止恶意程序通过伪造Referer头进行访问。
5.5 监控与报警
通过云监控服务可以为OSS创建报警规则。当监控指标（如存储量、外网流出流量、请求次数等）达到预设阈值时，自动发送通知。建议至少配置以下报警：
- 外网流出流量突增报警——防止流量盗刷
- 存储量异常增长报警——防止被恶意上传
- 请求错误率报警——及时发现问题
六、成本优化：用最少的钱存最多的数据
OSS采用按量计费模式，主要费用来自三个方面：存储费用、外网下行流量费用和API请求次数。理解这三个费用的构成，是优化成本的前提。
6.1 利用内网访问免流量
这是最重要的一条成本优化原则：如果您的应用部署在阿里云ECS、ACK等计算服务上，务必使用内网Endpoint访问OSS。内网流量完全免费，而外网流量是按GB计费的。确保Bucket与ECS在同一个地域（Region），然后在代码中使用oss--internal.aliyuncs.com格式的Endpoint。
6.2 生命周期管理：自动转冷存储
生命周期管理是OSS最强大的成本优化工具之一。您可以定义规则，让OSS自动将超过一定时间未被访问的文件从标准存储转为低频访问存储，再转为归档存储，甚至直接删除。
典型场景：
- 日志文件：30天后转低频，180天后转归档，365天后删除
- 用户上传的图片：90天后转低频
- 备份文件：直接存入归档存储
生命周期规则创建后的24小时内，OSS会加载规则。规则加载完成后，OSS会在固定的时间周期（通常是次日UTC时间0点，即北京时间8点后）扫描并执行符合条件的规则。
成本对比参考：将数据从标准存储转为低频访问存储可节省约40%的存储费用，转为归档存储可节省约70%。
6.3 选择正确的存储类型
OSS的五种存储类型各有适用场景：
- 标准存储：高频访问的热数据，单文件月访问大于1次
- 低频访问：访问频率较低但需要实时读取的温数据，单文件月访问不到1次
- 归档存储：需要长期保存但访问概率极低的数据，解冻时间约1分钟
- 冷归档存储：更低成本的长期归档
- 深度冷归档：最低成本的极长期存储
6.4 监控流量防止盗刷
外网流出流量是OSS成本中波动最大的一项。建议：
- 定期查看OSS用量报表，关注外网流量趋势
- 如果发现流量异常增长，检查是否有资源被恶意盗链
- 考虑开启“请求者付费模式”，让访问者承担流量费用
6.5 资源包与预付费
对于用量稳定的场景，购买资源包（存储包、下行流量包、SCU等）可以进一步降低成本。资源包按年或按月购买，单价低于按量计费。
七、常见问题解答
问题1：OSS的AccessKey在哪里获取？
AccessKey（AK/SK）在RAM访问控制台创建。进入“访问控制RAM” → “用户” → 创建RAM用户并勾选“OpenAPI调用访问”，然后在用户详情页创建AccessKey。AccessKeySecret仅在创建时显示一次，请务必保存。
问题2：为什么我上传的文件无法通过URL直接访问？
最常见的原因是Bucket的读写权限设置为“私有”。私有Bucket中的文件必须通过签名URL才能访问。如果确实需要公开访问，可以将Bucket权限改为“公共读”，或针对单个文件设置公共读权限。
问题3：如何降低OSS的流量费用？
最有效的方式是确保您的应用服务器（如ECS）与OSS在同一个地域，使用内网Endpoint访问，内网流量完全免费。其次，配置生命周期规则将冷数据转为低频或归档存储，减少不必要的存储费用。如果资源被频繁外网访问，考虑接入CDN加速，CDN的流量单价通常低于OSS直接外网流出。
问题4：OSS支持哪些编程语言的SDK？
OSS官方提供的主流语言SDK包括：Python、Java、Node.js、Go、C、C++、Ruby、PHP、Android、iOS等。几乎所有主流编程语言都可以方便地接入OSS。
问题5：Bucket创建后可以更改地域吗？
不可以。Bucket的地域在创建时确定，一旦创建就无法更改。如果选错了地域，只能删除Bucket重新创建（需先清空所有文件），或者使用OSS的传输加速功能跨地域访问（会产生额外费用）。因此创建Bucket时请谨慎选择地域。
问题6：什么是OSS的Endpoint？如何选择？
Endpoint是OSS服务的访问地址。外网Endpoint格式为oss-.aliyuncs.com，内网Endpoint格式为oss--internal.aliyuncs.com。如果您的应用部署在阿里云上且与Bucket同地域，务必使用内网Endpoint以节省流量费。
