OSS 实战指南：Bucket/外链/防盗链/计费与常见坑

基本概念

存储空间

Bucket，存储空间是用户用于存储对象（Object）的容器，所有的对象都必须隶属于某个存储空间，存储空间具有各种配置属性，包括地域、访问权限、存储类型等。用户可以根据实际需求，创建不同类型的存储空间来存储不同的数据。

• 同一个存储空间的内部是扁平的，没有文件系统目录的概念，所有的对象都直接隶属于其对应的存储空间
• 每个用户可以拥有多个存储空间
• 存储空间的名称在 OSS 范围内必须是全局唯一的，一旦创建之后无法修改名称
• 存储空间内部的对象数目没有限制

存储空间的命名规范如下：

• 只能包括小写字母、数字、短横线
• 必须以小写字母或者数字开头的结尾
• 长度必须在 3-63 字节之间

对象/文件

Object，对象是 OSS 存储数据的基本单元，也被成为 OSS 的文件，对象由元信息（Object Meta），用户数据（Data）和文件名（Key）组成。对象由存储空间内部唯一标的 Key 来标识。 对象元信息是一组键值对，表示了对象的一些属性，比如最后修改时间、大小等信息，同时用户也可以在元信息中存储一些自定义的信息。

对象的生命周期是从上传成功到被删除为止，在整个生命周期内，只有通过追加上传的 Object 可以继续通过追加上传写入数据，其他上传方式上传的 Object 内容无法编辑，可以通过重复上传同名的实现对象的覆盖。

对象命名规范：

• 使用 UTF-8 编码
• 长度必须在 1-1023 字节之间
• 不能以正斜线或者反斜线开头

地域

Region，表示 OSS 的数据中心所在物理位置，用户可以根据费用、请求来源等选择合适的地域创建 Bucket，一般来说，距离用户更近的 Region 访问速度更快。 Region 是在创建 Bucket 的时候指定的，一旦指定之后就不允许更改。该 Bucket 下所有的 Object 都存储在对应的数据中心，目前不支持 Object 级别的 Region 设置。

访问域名

Endpoint，表示 OSS 对外服务的访问域名，OSS 以 HTTP RESTful API 的形式对外提供访问服务，当访问不同的 Region 的时候，需要不同的域名，通过内网和外网访问同一个 Region 所需要提供的 Endpoint 也是不同的。

访问密钥

AccessKey 指的是访问身份验证中用到的 AccessKeyId 和 AccessKeySecret。OSS 通过使用 AccessKeyId 和 AccessKeySecret 对称加密的方法来验证某个请求的发送者身份，AccessKeyId 用于标识用户，AccessKeySecret 是用户用于加密签名字符串和 OSS 用来验证签名字符串和密钥，必须保密。 对于 OSS 来说，AccessKey 的来源有：

• Bucket 的拥有者申请的 AccessKey
• 被 Bucket 的拥有者通过 RAM 授权给第三方请求者的 AccessKey
• 被 Bucket 的拥有者通过 STS 授权给第三方请求者的 AccessKey

Service

OSS 提供给用户的虚拟空间，在这个虚拟空间中，每个用户拥有一个或者多个 Bucket。

功能详解

基本功能

使用阿里云管理控制台来完成 OSS 基本操作的流程如下：

开通服务器

我们登录到阿里云，找到：对象存储 OSS

创建 Bucket（我这里早几年之前已经创建过了）：

根据你自己的情况选择（按默认的选择也可以）：

我们进入之后，可以选择上传文件和下载文件：

Object 外链地址

如果一个 Bucket 设置成公开读权限，意味着允许其他用户来访问你的 object，你的 object 外链地址构成规则如下所示：

http:// <你的 bucket 名字>.<数据库中心服务域名>/<你的 object 名字>

构成规则的示意图如下：

假设这个 OSS 的数据在青岛，那 URL 就是：

http://oss-example.oss-cn-qingdao.aliyuncs.com/aliyun-logo.png 

我们使用的时候，可以直接将 URL 链接放入到 HTML 中使用：

<img src="http://oss-example.oss-cn-qingdao.aliyuncs.com/aliyun-logo.png"/>

防盗链

OSS 是按使用收费的服务，为了防止用户在 OSS 上的数据被其他人盗链，OSS 支持基于 HTTP header 中表头字段 referer 的防盗链方法。通过 OSS 控制台 - 权限管理 - 防盗链，可以对一个 Bucket 设置 referer 字段的白名单和是否允许 referer 字段为空的请求。

细节分析：

• 用户只有通过 URL 签名或者匿名访问 Object 时，才会做防盗链验证。如果有 Authorization 字段的，是不会验证的
• 一个 bucket 可以支持多个 referer 参数，这些参数之间由逗号分割，OSS 控制台配置时，使用换行
• Referer 参数支持通配符 * 和？
• 用户可以设置是否允许 Referer 为空的时候访问
• 白名单为空时，不会检查 Referer 字段是否为空（不然那所有请求都会被拒绝）
• 白名单不为空时，且设置了不允许 Referer 字段为空的规则，则只有 Referer 属于白名单的请求被允许，其他请求（包括 Referer 为空的请求）会被拒绝
• Bucket 三种权限（private、public-read、public-read-write）都会检查 Referer 字段

自定义域名

CNAME，OSS 支持用户将自定义的域名绑定到属于自己的 Bucket 上面，这个操作必须通过 OSS 控制台来配置。 按照中国互联网管理条例的要求，所有需要开通这项功能的用户，必须提供阿里云的备案号，域名持有者身份证等有效资料，经过阿里云审批通过才可以。

CNAM 场景：

• 用户 A 拥有一个域名为 abc.com，这个网站上所有的图片都存储在 abc.com 这个子域名下
• 为了应对日益增长的图片流量压力，用户 A 在 OSS 上创建了一个名为 img 的 bucket，并将图片存到 OSS 上
• 通过 OSS 控制台，提交 img.abc.com，CNAME 成 abc-img.oss-cn-hangzhou.aliyuncs.com 的申请
• 审核通过后，在 DNS 上加一条：img.abc.com 映射到 abc-img.oss-cn-hangzhou.aliyuncs.com

日志记录

OSS 为用户提供自动保存访问日志记录功能，Bucket 的拥有者可以通过 OSS 控制台的日志管理，为所拥有的 Bucket 开启访问日志记录功能，当一个 Bucket 开启日志记录的功能之后，OSS 自动访问这个 Bucket 的请求日志，以小时为单位，按照固定的命名规则，生成一个 Object 写入用户指定的 Bucket（目标 Bucket，Target Bucket）。

存储访问日志记录的 Object 命名规则：

<TargetPrefix><SourceBucket>-YYYY-mm-DD-HH-MM-SS-UniqueString 

命名规则中，TargetPrefix 由用户指定，YYYY mm DD HH MM SS 分别是该 Object 创建时的阿拉伯数字的年、月、日、小时、分钟、秒，UniqueString 是由 OSS 系统生成的，一个实际的用于存储的 OSS 访问日志的 Object 名称例子如下：

MyLog-oss-example-2000-01-01-01-00-00-0000 

日志的格式为：

细节分析：

• 源 Bucket 和 目标 Bucket 必须属于同一个用户
• TargetPrefix 表示存储访问日志记录的 object 名字前缀，可以为空
• 源 Bucket 和 目标 Bucket 可以是同一个 Bucket，也可以是不同的 Bucket，用户可以将多个源 Bucket 的 LOG 都保存在同一个目标 Bucket 内（建议指定不同的 TargetPrefix）。
• OSS 以小时为单位生成的 Bucket 访问的 Log 文件，但并不表示这个小时的所有请求都记录在这个小时的 Log 文件内，也有可能是出现在上一个或者下一个 Log 文件中
• OSS 生成的 Log 文件命名规则中 UniqueString 仅仅是 OSS 为其生成的 UUID，用于唯一标识该文件
• OSS 生成一个 Bucket 访问的 Log 文件，算作一次 PUT 操作，并记录其占用空间，但不会记录产生的流量，Log 生成后，用户可以按照普通的 Object 来操作这些 Log 文件。
• OSS 会忽略所有以 x-开头的 query-string 参数，但这个 query-string 会记录在访问 Log 中，如果你想从海量的访问日志中，标示一个特殊的请求，可以在 URL 中添加一个 x- 开头的 query string 参数

http://oss-example.oss.aliyuncs.com/aliyun-logo.png http://oss-example.oss.aliyuncs.com/aliyun-logo.png?x-user=admin 

OSS 处理上面两个请求，结果是一样的，但是在访问 Log 中，你可以通过 x-user=admin，很方便的定位出经过标记的这个请求。

错误速查