对象存储底层安全架构，3层少一层就漏风

对象存储的桶一旦被人设成公共读，后面的事基本就交给运气了。不是会不会被人翻，是什么时候被翻。这话听着刺耳，可我在各种后台里见过的翻车，多半是被什么高级黑客攻破的少，三层防护里少搭了一层的情况多：认证鉴权、网络边界、数据落盘。对象存储底层安全架构，3层少一层就漏风，说的就是这件事。上面那层漏个口子，下面那层就得独自扛着，扛不扛得住全看命。

对象存储底层安全架构的三层，先摆清楚各管什么

第一层管“你是谁”，也就是认证鉴权。谁在调接口、用的哪把钥匙、这把钥匙能碰哪个目录、有效期到几点。第二层管“你从哪来”，网络边界，请求是从公网绕进来的还是从内网直连的，走的是不是加密通道，来源 IP 在白名单里没。第三层管“东西放进去之后还是不是原来那样”，服务端加密、版本控制、防误删、审计日志，全在这一层。

这三层是竖着叠的，不是并列的。很多人只盯着第一层，觉得 AK/SK 管住了就万事大吉，结果网络那层把管理端口暴露在公网，或者数据那层压根没开版本控制，一个误删脚本跑下去，桶空了，找谁都没用。

认证鉴权：AK/SK 写进前端那天，账户就不算你的了

这个坑太经典了。前端 JS 里直接塞一对 AccessKey，图省事，上传走浏览器直传。代码一上线，打开开发者工具就能看见，等于把钥匙挂在门把手上。还有人为了省事给子账号挂 AdministratorAccess，反正能跑通就行。真出事的时候，日志里全是这把万能钥匙的记录，根本分不清是谁干的。

靠谱的做法不复杂。后端签名，或者用 STS 换临时凭证，有效期给短一点，一小时甚至十几分钟都行。浏览器直传用预签名 URL，签的时候就把方法、对象前缀、过期时间卡死，别签一个能删整个桶的地址出去。子账号按前缀授权，A 项目只能碰 project-a/ 这个目录，跨过去就报 AccessDenied。密钥轮换也别嫌烦，定期换，旧的停用而不是直接删，方便回溯。

还有一件常被忽略的小事：根账号别用来日常操作，开 MFA，操作日志单独存一份。听起来是废话，可就是这些废话在关键时刻救命。

网络这层最容易糊弄，内网流量不等于安全流量

我见过不少架构，应用和存储明明在同一个区域，访问却还走公网 endpoint，流量绕出去一圈再绕回来。看着能通，实际把本来可以只在私网里走的东西暴露在公网上，延迟还高。该用 VPC 内网 endpoint 就用，白名单按网段收窄，别一写就是 0.0.0.0/0。

传输层也别大意。现在主流服务商默认都支持 HTTPS，但有些老代码里还硬编码着 http 的 endpoint，图片、附件就那么明文跑。跨域配置也一样，CORS 里一个星号下去，等于告诉所有域名“来吧随便读”。防盗链的 Referer 白名单能配就配，尤其是图片、视频这类带宽消耗大的桶，被人拿去当免费图床，账单出来才知道疼。

顺便提一句，管理控制台的访问入口和业务接口最好分开管。控制台只允许办公网段进，业务接口按需放开。真要是哪天业务侧被人打了，至少管理面还留着一条干净的路。

数据落盘这层，加密和版本控制平时没用，出事救命

服务端加密这块，主流服务商一般提供托管密钥和自管密钥两种，前者省心，后者合规场景更合适，具体支持哪些算法和密钥管理方式，以服务商或官方页面说明为准。开启之后，对象落在盘上是密文，即便存储介质被拖走，读出来也是乱码。客户端加密再叠一层也行，但密钥管理的复杂度会上去，小团队量力而行。

版本控制是我最推荐开的一个开关。开了之后，覆盖和删除只是加了个删除标记，历史版本还在，误删脚本跑完还能捞回来。配上 MFA 删除和合规保留策略，就算是管理员账号被盗，想彻底抹掉数据也得过好几道关。代价是存储量会涨，得配合生命周期规则把非当前版本定期转低频或者清掉，不然账单会很难看。

还有个细节，桶策略和 ACL 这两套东西如果同时开着，规则冲突的时候判断顺序很绕，一个 Allow 一个 Deny，最后谁生效得翻文档。要么统一用桶策略，要么统一用 ACL，别两套混着来。策略里少用 Principal 为星号加 Action 为星号的组合，那基本等于全开。

日志和告警，是这三层之外的一层保险

访问日志建议一开始就开，别等出事再开。谁在什么时候、从哪个 IP、对哪个对象做了什么操作，全在里头。有了日志，异常下载量、异常来源、异常时间段的批量读取，才好配告警。存储量突然掉一大截、请求数突然翻几倍、错误码里 AccessDenied 密集出现，这几类信号都值得盯。

收个尾，给个可以照着核的清单：根账号开 MFA 且不日常使用；AK/SK 不进前端、定期轮换；浏览器直传走短时效预签名；子账号按前缀最小授权；同区域内网 endpoint 优先；桶不开公共读，除非确实是公开资源并且配了防盗链；服务端加密打开；版本控制打开并配生命周期；桶策略和 ACL 只留一套；访问日志从第一天就开。十件事，一次配完大概一个下午，比事后查日志、解释账单、跟客户道歉省事得多。