七牛云存储API对接详解：文件上传Token机制与安全实践

对接七牛云存储和其他云存储最大的区别，就在Token机制上。很多开发者习惯了一上来就找SDK文档写代码，结果Token没配对，上传偶尔成功偶尔失败，排查半天才发现是凭证过期了。搞懂Token机制，是对接七牛云的第一道关。

上传Token到底是什么

七牛云的文件上传不是直接拿AK/SK去传，而是用AK/SK生成一个临时的上传凭证，客户端拿着这个凭证才能往七牛的服务器推文件。这个设计其实比直接传密钥安全得多，因为Token可以控制作用域、可以设过期时间，即使泄露了影响也有限。

一个完整的上传Token包含几个关键字段：Scope（上传目标Bucket）、Deadline（过期时间戳）、InsertOnly（是否允许覆盖同名文件）。生成过程是把这些建字段JSON序列化后Base64编码，用SK做HMAC-SHA1签名，最后拼接AK和签名后的数据。

这里有个判断标准：如果你的业务场景是用户头像上传，Token过期时间设1小时足够了；如果是批量文件迁移，建议设24小时，但要注意控制生成数量，避免被滥用。

服务端生成Token的实战要点

Token生成逻辑放在服务端，客户端每次上传前向服务端请求。但每次请求都生成一个新Token会造成不必要的开销。实际项目中推荐两种优化方案：

方案一：服务端缓存Token。同一个用户同一批次的上传请求复用同一个Token，通过Redis缓存Token字符串，设置与Deadline一致的过期时间。这样一批50个文件的上传只需要生成一次Token，服务端压力大幅降低。

方案二：使用覆盖策略。设置Scope为“bucket:key“，允许客户端覆盖指定Key的文件。但这个权限要谨慎授予，建议仅在后台管理场景使用，面向终端用户的接口不要开放覆盖权限，防止恶意覆盖。

回调验证不能省

七牛云支持上传成功后回调你的业务接口，很多团队对接完回调就以为搞定了，其实少了关键一步——回调签名验证。七牛回调请求会在Header里带上Authorization字段，内容是用SK对回调Body做HMAC-SHA1后的签名。你的接口收到回调后，必须用自己存的SK重新计算签名做比对，不一致就拒绝。

不做验签的风险有多大？攻击者可以伪造一个回调请求，让你的系统记录一个根本不存在的文件信息。后期用户访问这个文件直接404，你还得排查半天。一行验签代码的事，别省。

还有一点容易忽略：七牛的存储区域选择。华东、华北、华南不同区域之间的内网传输也要收费，如果你的业务服务器在华北，就选华北区域，别图省事用默认的华东区，每月多出来的流量费够吃几顿好的了。