网站图片、商品主图、用户上传的附件，很多团队都会放到阿里云 OSS 里。创建存储桶时要选择读写权限，最常见的纠结是选“私有”还是“公共读”。选公共读最省事，图片地址直接就能访问；选私有更安全，但需要额外处理访问方式。腾旭云把两种选择的利弊整理如下。
两种权限的含义
私有表示只有存储桶所有者和被授权的身份可以读写其中的文件，匿名访问会被拒绝。公共读表示任何人都可以读取文件内容，但写入仍需要授权。需要注意的是，公共读意味着只要知道文件地址就能下载，文件一旦被大量引用或盗链，产生的外网流量费用都会由存储桶所有者承担。
配图为流程示意，非控制台截图或交易凭据。
适用场景对照
| 场景 | 推荐权限 | 配套做法 |
|---|---|---|
| 网站公开展示的图片 | 公共读或私有加 CDN | 配置防盗链，关注流量费用 |
| 用户上传的私人资料 | 私有 | 通过签名地址限时访问 |
| 内部备份与日志 | 私有 | 只授权给需要的 RAM 用户或角色 |
| 静态网站托管 | 视托管方式而定 | 按官方静态网站托管说明配置 |
选择私有时怎样访问
私有存储桶的文件可以通过签名地址访问，签名地址带有过期时间，到期后失效，适合需要控制访问期限的文件。网站展示场景下，也可以把私有存储桶作为 CDN 的源站，让访客通过 CDN 访问，存储桶本身不对公网开放。程序读写文件时，应使用权限受限的 RAM 用户或实例角色，而不是主账号的 AccessKey。
配图为流程示意，非控制台截图或交易凭据。
选择公共读时要补的措施
如果确实选择了公共读，建议至少做三件事：开启防盗链，只允许自己的域名引用图片；在云监控中为外网流量设置告警，发现异常增长能及时处理；确保存储桶中没有混入不应公开的文件，敏感资料单独放在私有存储桶。
示例：被盗链的商品图
某电商团队的商品图存放在公共读存储桶中，某月流量费用突然翻倍。排查发现图片被其他网站大量直接引用。他们随即开启防盗链，并把图片改为通过 CDN 分发，流量费用很快回落到正常水平。
已有的公共读存储桶能改成私有吗？
可以在存储桶设置中修改读写权限。修改前要确认网站和程序中引用这些文件的方式，避免改为私有后页面图片无法显示。
单个文件能设置不同于存储桶的权限吗？
OSS 支持为单个文件设置访问权限，但文件级权限多了以后很难管理。更推荐按用途把文件分到不同的存储桶，用存储桶级别的权限统一控制。
延伸阅读与办理
可继续阅读阿里云账号的云监控告警发给谁？报警联系人与联系人组配置。需要办理时，先查看阿里云账号服务说明，再通过腾旭云咨询入口说明用途与待核对事项。
官方资料
阿里云：OSS 静态网站托管；阿里云：RAM 用户概述；阿里云：CDN 计费概述。资料核对日期：2026-11-03。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
