阿里云 OSS 最优配置（开发/测试/生产 一键对照）

做 AI 应用、全栈开发、文件存储场景时，阿里云 OSS 配置选错，很容易出现多余扣费、文件无法访问、线上安全泄露等问题。本文整理一套极简、可直接落地的 OSS 标准配置，区分开发测试与生产环境，开箱即用。

一、存储类型怎么选？

1. 标准存储（通用首选）

适用：所有开发、测试、线上业务主存储

• 无最短存储时间限制，可随时上传、删除、修改文件

• 支持图片处理、CDN 回源、前端预览、分片上传、RAG 知识库读取

• 无 64KB 最小计费限制，适配小文件调试场景

结论：开发测试桶、业务主桶全部默认选标准存储。

2. 低频访问存储（IA）

不适合开发测试

• 强制最低存储 30 天，提前删除会产生罚金

• 每次读取收取取回费，反复调试会额外扣费

• 不足 64KB 按 64KB 计费，小文件不划算

适用：30 天以上极少访问的历史备份数据。

3. 归档存储

完全不适合开发、测试、在线业务

• 最低存储 60 天，提前删除扣费

• 需要手动解冻才能读取，调试会直接超时

• 不支持图片处理、在线预览、CDN 回源

适用：长期冷数据归档、项目备份、日志归档。

最佳省钱方案

桶统一使用标准存储，搭配生命周期规则：文件超 30 天转低频、超 60 天转归档，兼顾调试体验与存储成本。

二、冗余类型：本地冗余 / 同城冗余

1. 本地冗余 LRS（开发测试首选）

• 同可用区内多副本存储，单磁盘故障不丢数据

• 价格更低，性价比高

• 支持单向升级为同城冗余，灵活度高

适用：测试数据、可重跑的 AI 生成文件、临时素材、测试知识库。

2. 同城冗余 ZRS（生产首选）

• 跨多可用区存储，机房级故障不丢数据、不中断服务

• SLA 可用性更高，容灾能力强

• 一旦开启，无法降级为 LRS，长期成本更高

适用：线上用户数据、正式知识库、不可重建的核心业务文件。

三、权限配置：阻止公共访问 + 读写权限

所有桶（开发+生产）统一安全基准，杜绝数据泄露。

1. 阻止公共访问：一律开启

属于安全总开关，开启后可兜底防护：即使误配置公开权限，外网也无法匿名访问，彻底避免 RAG 文档、业务素材泄露。

2. Bucket 读写 ACL：一律私有（private）

• 私有：仅账号 AK、RAM、STS 临时凭证可访问，标准安全方案

• 公共读：不推荐，易泄露数据、产生额外公网流量费用

• 公共读写：高危，绝对禁止，任何人可上传、删除文件

私有桶如何正常业务访问？

• 后端服务、本地调试：使用 AK / RAM 子账号直连

• 前端预览、文件下载：后端生成限时预签名 URL

• 前端直传文件：使用 STS 临时授权

四、最终一键复制配置（直接照填）

开发 / 测试 Bucket 配置

• 存储类型：标准存储

• 冗余类型：本地冗余 LRS

• 阻止公共访问：开启

• 读写权限：私有（private）

生产 / 线上 Bucket 配置

• 存储类型：标准存储

• 冗余类型：同城冗余 ZRS

• 阻止公共访问：开启

• 读写权限：私有（private）

五、核心总结

1. 冷热存储不手动选错，用「标准存储+生命周期」自动降本，不影响开发调试

2. 环境冗余分开：测试用 LRS 省钱，生产用 ZRS 保稳定

3. 权限死守最小原则：全开私有、开启公共访问拦截，杜绝安全隐患