一、初识阿里云对象存储OSS
阿里云对象存储OSS（Object Storage Service）是阿里云提供的海量、安全、低成本、高持久的云存储服务。它支持存放图片、视频、文档、程序包等各类非结构化数据，广泛用于网站静态资源托管、文件备份与归档、媒体存储、数据湖构建等场景。OSS的数据设计持久性不低于99.9999999999%（12个9），并支持无限扩展。
在使用OSS之前，需要理解几个核心概念：Bucket（存储空间）是存放文件的容器，相当于文件系统的根目录；Object（对象）是OSS中存储的基本数据单元，即具体的文件；Endpoint（访问域名）是访问OSS服务的地址，分为内网Endpoint和外网Endpoint。
二、开通OSS服务与前期准备
使用OSS的第一步是拥有一个阿里云账号。访问阿里云官网，使用手机号或邮箱完成账号注册。注册完成后必须完成实名认证——个人实名或企业实名均可——这是使用绝大多数云产品的前置条件。未实名的账号无法正常创建Bucket、调用SDK接口，仅开放少量只读预览权限。个人用户可通过支付宝刷脸快速完成认证，企业用户需上传营业执照等材料提交人工审核。实名认证通过后，所有云产品服务权限才会完整开放。
需要先登录阿里云控制台，点击：阿里云控制台
登录阿里云统一控制台，在产品检索框输入“对象存储OSS”进入产品主页，点击“开通服务”按钮，勾选服务使用协议确认即可完成开通。需要特别注意的是：购买OSS资源包并不等于自动开通OSS服务，仍需手动完成此开通操作。新开通用户通常会发放对应的免费资源额度，包含基础存储容量与下行流量，具体以平台活动规则为准，可在费用控制台实时查看余量。开通完成后进入OSS专属控制台，所有Bucket、文件、安全配置均在此页面统一管理。
三、创建Bucket存储空间
Bucket是OSS中最基础的数据存储容器，所有文件（Object）都需要存放在指定的Bucket内。在OSS控制台左侧导航栏点击“Bucket列表”，然后点击“创建Bucket”即可开始创建。创建时涉及的参数选择会直接影响后续的使用体验和成本，以下几个关键参数需要慎重决策。
3.1 Bucket命名规范
Bucket名称在阿里云全平台全局唯一，不存在重名空间。命名规则：仅允许小写英文字母、数字和短横线（-），字符长度3至63位，首尾必须为字母或数字，不能以短横线开头或结尾。推荐命名格式为「项目-环境-用途」，例如shop-prod-static，通过名称即可区分业务、运行环境和存储用途，方便多Bucket批量管理。名称创建后永久不可修改，若命名错误只能删除重建，删除前必须清空内部全部文件。
3.2 地域（Region）选型
地域选择遵循同域内网免费的核心原则。若业务服务器部署在对应地域的ECS、ACK等阿里云产品上，Bucket选择同一Region即可使用内网Endpoint进行访问，内网传输完全不计下行流量费用。跨地域访问只能使用外网地址，会持续产生流量计费。面向国内用户优先选择华东2（上海）、华北2（北京）等内地节点，面向海外客户可选择新加坡、美西等海外地域。地域创建后无法更改，选错只能重建Bucket并迁移数据。创建Bucket后务必记录对应内网、外网Endpoint地址，这是SDK、ossutil接入的必备参数。
3.3 存储类型选择
OSS提供五种存储类型——标准、低频访问、归档、冷归档、深度冷归档，支持通过生命周期规则自动转换。不同类型在存储单价、最小留存期限、数据取回费用上差异巨大。
- 标准存储：无最低存储时长限制，读写响应速度最快，适合图片、页面等高频访问热数据，网站静态资源首选。
- 低频访问：要求文件至少留存30天，存储单价更低，单次读取会产生少量取回费，适合月度访问不足1次的备份、素材。
- 归档存储：最低留存60天，存储成本大幅下降，读取前需要1分钟解冻，适合季度级归档文件。
- 冷归档：最低留存180天，存储成本最低，解冻耗时更长，适合数年长期不查阅的原始备份、合规档案。
3.4 读写权限设置
创建Bucket时，读写权限建议选择“私有”。私有权限下，只有文件拥有者可访问，未授权用户无法直接通过URL读取文件内容。如需分享文件，可通过生成签名URL的方式授予临时访问权限，而不是将Bucket设置为公共读。
四、文件上传的多种方式
OSS支持多种文件上传方式，可根据使用场景和技术水平灵活选择。
4.1 控制台上传
OSS管理控制台是阿里云提供的一款简单且易于上手的网页管理工具。创建Bucket后，在Bucket列表页面单击Bucket名称，在左侧导航栏进入“文件管理 > 文件列表”，然后单击“上传文件”。将本地文件拖拽到待上传文件区域，或通过扫描文件选择文件。通过控制台单次可上传不超过5GB的文件。
4.2 图形化工具ossbrowser
ossbrowser是OSS官方提供的图形化管理工具，协助用户快速管理Bucket和文件，例如创建、删除Bucket，上传、下载、预览、复制、移动、分享文件等。ossbrowser默认使用分片上传和断点续传，上传文件最大不能超过48.8TB。对于非技术用户，ossbrowser是推荐的上传方式。下载并安装ossbrowser后，使用AccessKey登录，定位到目标Bucket和路径，将本地文件拖入即可完成上传。
4.3 命令行工具ossutil
ossutil是阿里云官方提供的OSS命令行管理工具，可在Windows、Linux和macOS上运行。ossutil支持快速上传大文件、下载文件以及按前缀批量删除文件等操作。推荐使用ossutil 2.0版本，它支持多级命令（包括API级命令和高阶命令）、简化的配置方式、丰富的过滤选项（按路径、文件大小、最后修改时间、对象元数据过滤）以及灵活的输出格式（JSON、YAML、XML）。
安装ossutil后，需进行基本配置，指定AccessKey ID、AccessKey Secret和Region ID。常用命令示例：
# 上传文件 ossutil cp /path/to/local/file oss://your-bucket/your-object # 下载文件 ossutil cp oss://your-bucket/your-object /path/to/local/destination # 列出Bucket中的文件 ossutil ls oss://your-bucket/ # 生成签名URL（有效期30天） ossutil sign oss://your-bucket/your-object --timeout 2592000
使用--profile参数可管理多个配置文件，通过--dry-run可在执行前验证命令。
4.4 Python SDK上传
OSS SDK for Python提供了完整的文件上传接口。安装SDK：
pip install alibabacloud_oss_v2
简单上传示例：
import alibabacloud_oss_v2 as oss # 从环境变量加载凭证 cfg = oss.config.load_default() cfg.credentials_provider = oss.credentials.EnvironmentVariableCredentialsProvider() cfg.region = "cn-hangzhou" # 替换为你的Region client = oss.Client(cfg) # 简单上传本地文件 result = client.put_object_from_file( oss.PutObjectRequest( bucket="your-bucket-name", key="your-object-key" ), filepath="/path/to/local/file" ) print(f"上传完成，ETag: {result.etag}")
对于大文件，可使用Uploader模块进行分片上传。Uploader默认将文件切分为6MiB的分片，最多3个分片并发上传。开启断点续传（enable_checkpoint）后，若上传中断，可从断点处恢复。
uploader = client.uploader() result = uploader.upload_file( oss.PutObjectRequest( bucket="your-bucket-name", key="your-object-key" ), filepath="/path/to/local/large-file", enable_checkpoint=True # 开启断点续传 ) print(f"上传完成，CRC-64: {result.hash_crc64}")
SDK从环境变量OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET读取凭证。务必在运行代码前设置好环境变量，避免将密钥硬编码在代码中。
五、访问私有文件：签名URL的生成与使用
OSS文件默认为私有权限，只有文件拥有者可访问。但文件拥有者可以生成分享链接（预签名URL），授权他人在有效期内下载或在线预览指定文件。
5.1 签名URL的工作原理
预签名URL的生成过程依赖密钥加密和参数拼接。基于AK/SK对文件路径、过期时间等信息加密计算得到签名（x-oss-signature），将签名参数（x-oss-date、x-oss-expires、x-oss-credential等）作为查询字符串附加到文件URL，组成完整的预签名URL。
5.2 通过控制台生成签名URL
登录OSS管理控制台，进入目标Bucket的文件列表，单击目标文件后在右侧详情面板复制文件URL，即可获取默认有效期为300秒（5分钟）的临时下载链接。控制台中默认URL的有效时间为3600秒，最大值为32400秒。
5.3 通过ossutil生成签名URL
若需时效超过最大值32400秒的文件URL，请使用命令行工具ossutil或OSS SDK。
# 生成30天有效的签名URL ossutil sign oss://your-bucket/your-object --timeout 2592000
5.4 通过Python SDK生成签名URL
import alibabacloud_oss_v2 as oss import time cfg = oss.config.load_default() cfg.credentials_provider = oss.credentials.EnvironmentVariableCredentialsProvider() cfg.region = "cn-hangzhou" client = oss.Client(cfg) # 生成签名URL，有效期30天（单位：秒） expires = 30 * 24 * 3600 url = client.sign_url( bucket="your-bucket-name", key="your-object-key", method="GET", expires=expires ) print(f"签名URL: {url}")
生成的签名URL在有效期内可被任何人访问，务必设置合理的过期时间，避免长期有效的分享链接导致数据泄露风险。
六、自定义域名与CDN加速
6.1 绑定自定义域名
OSS允许将自有域名绑定至Bucket，替代默认域名访问OSS资源。绑定后，可以使用自定义域名实现文件在线预览、提升品牌一致性，并灵活配置HTTPS证书和CDN加速等能力。
重要提示：自北京时间2025年3月20日起新开通OSS服务的用户，若通过OSS默认公网Endpoint访问中国内地地域Bucket的数据类API，请求将被拒绝。如需继续通过公网调用此类API，必须使用自定义域名。
绑定自定义域名的步骤：
- 前往Bucket列表，单击目标Bucket名称，在左侧菜单栏选择“域名管理”，单击“绑定域名”。
- 输入需要绑定的域名，系统自动检测是否满足绑定条件。
- 若域名属于其他阿里云账户或其他域名服务商，需验证域名所有权——在云解析DNS控制台添加TXT记录，记录值填写OSS控制台显示的记录值。
- 返回OSS控制台，单击“验证域名所有权并绑定”。
绑定域名后，还需配置CNAME解析记录将自定义域名指向OSS访问域名。务必先完成域名绑定再配置CNAME解析，否则通过自定义域名访问OSS时将无法正确识别Bucket。
6.2 CDN加速配置
CDN加速为OSS提供全球分布式缓存能力。当网站或应用需要向全球用户分发存储在OSS中的静态资源时，通过配置CDN加速，可以显著提升访问速度、降低网络延迟，并削减流量成本。
配置步骤：
- 前往CDN控制台，单击“添加域名”。选择加速区域和业务类型，填写加速域名（建议使用子域名如oss.example.com）。
- 单击“新增源站信息”，选择源站信息为OSS域名，并选择目标Bucket域名。
- 完成CDN加速域名添加后，可配置缓存过期时间、Range回源、HTTPS证书等。
- 通过DNS CNAME记录将加速域名指向CDN分配的CNAME地址。
默认情况下，新创建的Bucket读写权限为私有，通过CDN访问时需要开启私有Bucket回源功能，授权CDN节点访问私有资源。在CDN控制台单击目标域名，在左侧导航栏单击“回源配置”，开启“阿里云OSS私有Bucket回源”。
七、安全管理与防护
7.1 RAM权限管理
为保证数据安全，推荐使用RAM用户（子账号）的AccessKey登录和管理OSS，避免主账号密钥泄露。RAM用户默认没有任何权限，需要由主账号或管理员通过RAM策略或Bucket Policy授予操作权限。
RAM用户需具备管理某一Bucket的权限。例如，授予RAM用户对特定Bucket的只读或读写权限。通过RAM可以实现细粒度的权限控制，避免共享主账号AccessKey的安全风险。
7.2 防盗链（Referer白名单）
为避免图片等资源被盗用，可通过配置Referer来设置防盗链。防盗链使用HTTP Referer请求头控制访问——可以设置Referer白名单、黑名单以及控制是否允许空Referer访问。
配置方式：前往Bucket列表，单击目标Bucket，在左侧导航栏选择“防盗链”，启用防盗链选项，按照需求配置Referer规则，每行一个域名。
7.3 CORS跨域配置
如果Web应用需要从浏览器直接访问OSS资源（例如通过AJAX请求），需要配置CORS（跨域资源共享）规则。CORS配置允许指定允许的跨域请求来源、方法、头信息等。
7.4 版本控制
存储空间开启版本控制后，OSS会为Bucket中所有文件的每个版本指定唯一的ID值。开启版本控制后，能够防止意外覆盖或删除Object，并允许查询和恢复Object的历史版本。版本控制适用于所有Object，开启后OSS保留每个版本的Object，包括覆盖和删除产生的版本。
八、生命周期规则与成本优化
8.1 生命周期规则的作用
并不是所有上传至OSS的数据都需要频繁访问，但基于数据合规或存档等原因，部分数据仍需要继续保存。您可以配置基于最后一次修改时间的生命周期规则，定期将Object从热存储类型转为冷存储类型，或者删除Object，以降低存储成本。
使用场景示例：
- 医疗档案上传至OSS后半年内偶尔访问，半年后基本不再访问——可设置规则将180天后的档案转为归档存储。
- 热线录音文件上传后2个月内用于数据统计，2个月后偶尔访问，半年后基本不再访问，2年后不再需要——可设置60天后转低频访问、180天后转归档、730天后删除。
- Bucket内有大量文件需要全部删除——可配置匹配整个Bucket的生命周期规则，设置一天后删除所有文件。
8.2 生命周期规则的配置要点
单个Bucket最多支持配置1000条生命周期规则。PutBucketLifecycle为覆盖语义——更新规则时需要先获取现有规则、叠加新规则、再整体更新。生命周期规则创建后的24小时内OSS会加载规则，规则加载完成后每天北京时间8:00开始执行。
限制条件：
- 生命周期规则目前仅支持根据前缀和标签进行匹配，不支持通配符匹配、后缀匹配以及正则匹配。
- 不支持对重叠前缀的Object设置两条或两条以上包含碎片过期策略的生命周期规则。
- 不支持通过生命周期规则将Appendable类型Object转为冷归档或深度冷归档存储。
- 不支持通过生命周期规则将软链接转换为低频访问、归档、冷归档以及深度冷归档存储类型。
九、费用结构与成本优化策略
9.1 核心计费项
OSS计费项分为“基础计费项”和“增值计费项”。基础计费项包括存储费用、流量费用、请求费用，绝大多数用户使用OSS时都会产生。增值计费项包括传输加速、CDN回源、数据处理等，仅主动开通对应功能时收费。
关键免费项：
- 开通OSS服务、创建Bucket免费。
- 公网上传流量（文件从本地传到OSS）免费。
- 内网流量（同地域ECS访问OSS）免费。
9.2 存储费用
存储费用根据存储类型和计费模式定价。按量付费模式下，标准存储（本地冗余）单价约0.09元/GB/月，低频访问存储约0.07元/GB/月，归档存储约0.03元/GB/月。资源包（包年包月）支持“买9送3”（年付仅付9个月费用）、“买5送1”（半年付仅付5个月费用）。
9.3 流量费用
流量费用仅对公网流出流量计费，内网流量和上传流量免费。这是OSS成本优化最重要的切入点——将业务服务器部署在与OSS Bucket相同的地域，使用内网Endpoint访问，可以完全避免下行流量费用。
9.4 成本优化策略
- 地域优先：ECS与OSS同地域，使用内网访问免流量。
- 存储类型分层：热数据用标准存储，冷数据通过生命周期规则自动转为低频或归档。
- 监控外网流量：通过云监控创建报警规则，当流量异常时及时收到通知，防止盗刷。
- 购买资源包：对于稳定的存储容量和流量，购买资源包比按量付费更划算。
十、监控与运维
通过云监控服务可以实时监控OSS的各项指标。在云监控控制台创建OSS报警规则，当监控指标达到报警条件时，云监控会自动发送通知（短信、邮件、钉钉机器人），帮助及时处理异常。
CloudLens for OSS已内置告警监控规则，支持快速开启常用的Bucket异常检测功能，帮助及时发现并分析在产品使用过程中的不合理行为。
十一、常见问题解答
问：OSS服务开通后为什么无法上传文件？
答：请确认已完成账号实名认证，并且Bucket的读写权限设置正确。如果使用SDK或ossutil，请检查AccessKey是否正确配置，以及是否有对应操作的权限（如oss:PutObject）。
问：私有Bucket中的文件如何分享给他人？
答：通过生成签名URL（预签名URL）进行分享。可在OSS控制台文件详情页复制URL（默认有效期300秒），也可通过ossutil或SDK生成自定义有效期的签名URL。
问：如何降低OSS的存储成本？
答：主要策略包括：将ECS与OSS部署在同一地域并使用内网访问（免流量费）；通过生命周期规则将冷数据自动转为低频或归档存储；购买资源包抵扣存储和流量费用；定期清理不再需要的数据。
问：自定义域名绑定后为什么无法访问？
答：请确认已完成两个步骤：一是在OSS控制台绑定自定义域名，二是在DNS服务商处配置CNAME解析记录将域名指向OSS访问域名。两者缺一不可，且DNS解析生效需要几分钟到几小时。
问：OSS支持哪些编程语言的SDK？
答：OSS官方SDK支持Java、Python、Node.js、PHP、Go、C#、C++、Ruby、Android、iOS等多种编程语言。
问：Bucket名称可以修改吗？
答：Bucket名称创建后永久不可修改。若命名错误只能删除重建，删除前必须清空内部全部文件。建议创建前仔细确认命名规范。
