给对象存储桶开公共读之前，先核对这三处

把 OBS 桶改成公共读，多半是为了让静态页面或安装包能被外网直接拉到。改权限之前，我习惯先停在桶的「概览 / 权限」上对三处，避免桶 ACL 和桶策略各写一套，事后请求结果对不上控制台的显示。

第一处：桶 ACL 和桶策略有没有叠在一起。公共读如果只勾在 ACL 上，桶策略里再留一条 Effect 为 Deny、Principal 为所有人的语句，控制台仍可能显示已公开，匿名请求却是 403。先把策略列表里的拒绝语句看完，再决定要不要动 ACL。

第二处：对象前缀，不要把整桶都放开。静态网站通常只需要 website/ 或 release/ 这类前缀。策略的 Resource 写成桶名加前缀，比把整个桶设成公共读更不容易把日志、备份对象一起带出去。

第三处：自定义域名和 HTTPS。公共读打开之后，如果页面仍引用默认域名，浏览器里容易混进非 HTTPS 资源。要给正式页面用，先确认自定义域名的证书已经绑定，再改前端里的资源地址。只是临时传文件，就不必绑域名，但也不要顺手勾上列出对象。

改完用匿名窗口访问一个预期公开的对象，再访问一个不该公开的前缀。两边结果不一样，这三处才算核对完。