服务端STS签名

官方文档：https://help.aliyun.com/document_detail/31926.html?spm=a2c4g.11186623.6.1524.dcd97eaeSdq1cN

# 主要代码 PHP
        DefaultProfile::addEndpoint($endpoint, $regionId, "Sts", $endpoint);
        $iClientProfile = DefaultProfile::getProfile($regionId, $accessId, $accessKey);
        $client = new DefaultAcsClient($iClientProfile);

        // 角色资源描述符，在RAM的控制台的资源详情页上可以获取
        $roleArn = "acs:ram::14**************************unossapprole";
        // 在扮演角色(AssumeRole)时，可以附加一个授权策略，进一步限制角色的权限；
        // 详情请参考《RAM使用指南》
        // 此授权策略表示读取所有OSS的只读权限
        $policy = <<<JSON
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "oss:Put*",
      "Resource": "*"
    }
  ]
}
JSON;

        $request = new Sts\AssumeRoleRequest();
        // RoleSessionName即临时身份的会话名称，用于区分不同的临时身份
        // 您可以使用您的客户的ID作为会话名称
        $request->setRoleSessionName('hiiair');
        $request->setRoleArn($roleArn);
        $request->setPolicy($policy);
        $request->setDurationSeconds(3600);
        try {
            $response = $client->getAcsResponse($request);
            $data['AccessKeySecret'] = $response->Credentials->AccessKeySecret;
            $data['AccessKeyId'] = $response->Credentials->AccessKeyId;
            $data['Expiration'] = $response->Credentials->Expiration;
            $data['SecurityToken'] = $response->Credentials->SecurityToken;
            $data['Bucket'] = $config['oss_bucket'];
            $data['Endpoint'] = $config['oss_endpoint'];
            $data['Region'] = 'oss-'.$regionId;
        } catch (ServerException $e) {
            return $this->failedReturn($e->getMessage());
        } catch (ClientException $e) {
            return $this->failedReturn($e->getMessage());
        }

前端代码

官方文档：https://help.aliyun.com/document_detail/64041.html?spm=a2c4g.11186623.2.11.665e74b8vyo8RA#h2-url-4

# 主要代码 
// object 是存储对象，包括文件夹，文件名，例：test/test001.txt
// file 是 html file 对象，原文档说支持HTML5 file 和 Blob类型
client.put('object', file).then(function (r1) {
  console.log('put success: %j', r1);
  // 这一步非必需，可以去掉
  return client.get('object');
}).then(function (r2) {
  console.log('get success: %j', r2);
}).catch(function (err) {
  console.error('error: %j', err);
});

注意事项(这里是安全的保证，注意权限):

，上传只需要PUT方法