本文中含有需要您注意的重要提示信息，忽略该信息可能对您的业务造成影响，请务必仔细阅读。
OSS允许您对文件（Object）设置访问权限，方便您控制资源访问的方式。
注意事项
当您使用webpack或browserify等打包工具时，请通过npm install ali-oss的方式安装Browser.js SDK。
通过浏览器访问OSS时涉及跨域请求，如果未设置跨域规则，浏览器会拒绝跨域访问请求。如果您希望通过浏览器可以正常访问OSS，需要通过OSS设置跨域规则。具体操作，请参见准备工作。
由于Browser.js SDK通常在浏览器环境下使用，为避免暴露阿里云账号访问密钥（AccessKey ID和AccessKey Secret），强烈建议您使用临时访问凭证的方式执行OSS相关操作。
临时访问凭证包括临时访问密钥（AccessKey ID和AccessKey Secret）和安全令牌（SecurityToken）。获取临时访问凭证的具体操作，请参见授权访问。
读写权限类型
Object包含以下4种读写权限：
Object的访问权限优先级高于Bucket的访问权限。例如，Bucket的访问权限为私有，而Object的访问权限是公共读，则任何人（包括匿名用户）都可以对该Object进行读操作。
权限类型 | 描述 | 权限值 |
继承Bucket（默认权限） | 当Object未设置访问权限时，该Object遵循Bucket的读写权限，即Bucket是什么权限，Object就是什么权限。 | default |
私有 | 只有Object的拥有者可以对该Object进行读写操作，其他人无法访问该Object。 | private |
公共读 | 只有该Object的拥有者可以对该Object进行写操作，任何人（包括匿名访问者）都可以对该Object进行读操作。 警告 互联网上任何用户都可以对该Object进行访问，这有可能造成您数据的外泄以及费用激增，请谨慎操作。 | public-read |
公共读写 | 任何人（包括匿名访问者）都可以对该Object进行读写操作。 警告 互联网上任何用户都可以对该Object进行访问，并且向该Object写入数据。这有可能造成您数据的外泄以及费用激增，若被人恶意写入违法信息还可能会侵害您的合法权益。除特殊场景外，不建议您配置公共读写权限。 | public-read-write |
示例代码
上传Object时，Object ACL默认继承Bucket的读写权限。您可以通过putACL修改Object的读写权限。
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8" />
<title>Document</title>
</head>
<body>
<script src="https://gosspublic.alicdn.com/aliyun-oss-sdk-6.18.0.min.js"></script>
<script>
const client = new OSS({
// yourRegion填写Bucket所在地域。以华东1（杭州）为例，Region填写为oss-cn-hangzhou。
region: "yourRegion",
authorizationV4: true,
// 从STS服务获取的临时访问密钥（AccessKey ID和AccessKey Secret）。
accessKeyId: "yourAccessKeyId",
accessKeySecret: "yourAccessKeySecret",
// 从STS服务获取的安全令牌（SecurityToken）。
stsToken: "yourSecurityToken",
// 填写Bucket名称，例如examplebucket。
bucket: "examplebucket",
});
async function getACL() {
try {
result = await client.getACL("examplefile.txt");
console.log(result.acl);
await client.putACL("examplefile.txt", "public-read");
result = await client.getACL("examplefile.txt");
console.log(result.acl);
} catch (e) {
console.log(e);
}
}
getACL();
</script>
</body>
</html>
相关文档
关于Object访问权限的完整示例代码，请参见GitHub示例。
关于设置Object访问权限的API接口说明，请参见PutObjectACL。
关于获取Object访问权限的API接口说明，请参见GetObjectACL。