对象存储桶权限误设成公开，数据被直接扒走

桶设成公开读，等于把目录挂到公网。

先查桶策略和 ACL，把 AllUsers 授权删掉。

再把公共读改成私有，走签名 URL 临时授权。

签名链接带过期时间，别写进前端代码。

开访问日志和异常下载告警，事后能追溯。

# 查 ACL 与桶策略，看有没有 AllUsers / Principal: *
aws s3api get-bucket-acl --bucket my-bucket
aws s3api get-bucket-policy --bucket my-bucket

# 四个开关全开，封掉公开访问
aws s3api put-public-access-block --bucket my-bucket --public-access-block-configuration BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

# 私有对象改用预签名链接，600 秒过期
aws s3 presign s3://my-bucket/report.pdf --expires-in 600