关于STS授权访问及OSS存储
前端新人想请教一下关于OSS存储与STS临时授权访问的问题，因为官方文档中只有javaScript签名直传是前端可以使用，但是因为会暴露AccessKeyID和AccessKeySecrety,遂想采用STS进行临时授权访问，但是官方文档中给出的Brower.js的配置也不是很适用，在JavaScript签名直传的文档中提出如果是STS方式访问添加token = 'STS.token';但是这个token是什么并不知是何物，文档也未指明从何处取。
另外还有一个问题便是前端使用OSS服务图片处理功能一定要像官方文档中所写暴露AccessKeyID和AccessKeySecrety吗？（见下图）如若不是前端还有什么写法，还想请大佬们指点一二。
写回答
-
fralychen首先你得理解STS是什么
阿里云临时安全令牌（Security Token Service，STS）是阿里云提供的一种临时访问权限管理服务。
可信实体 通过 扮演角色 方法 获取 RAM角色 的安全令牌即临时身份
上文中 STS.accessid STS.accesskey STS.token 都是通过访问授权（STS）服务获取的临时身份信息
下文是官网的几个名词定义 RAM角色（RAM role）一种虚拟的RAM用户。RAM角色的全局资源描述符（Role ARN）Role ARN是角色的全局资源描述符（Aliyun Resource Name，简称ARN），用来指定具体角色。每个角色都有一个唯一的全局资源描述符。格式：acs:ram::$accountID:role/$roleName。 可信实体（Trusted entity）角色的可信实体是指可以扮演角色的实体用户身份。创建角色时必须指定可信实体，角色只能被受信的主体扮演。可信实体可以是受信的阿里云账号、受信的阿里云服务或身份提供商。 扮演角色（Assume role）扮演角色是实体用户获取角色身份的安全令牌的方法。一个实体用户调用STS API AssumeRole可以获得角色的安全令牌，使用安全令牌可以访问云服务API
具体你可看看这篇文章中描述 链接
2019-09-06 11:30:02赞同 展开评论 打赏 -
STS token是通过调用服务接口AssumeRole来获取，也可以通过sdk获取，参见这篇：https://help.aliyun.com/document_detail/100624.html?spm=a2c4g.11186623.2.8.7e653efa933QMv#concept-xzh-nzk-2gb
2019-08-28 10:03:00赞同 展开评论 打赏
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
