盘点所有授权访问的途径
检查存储桶策略、对象 ACL、公共访问阻止设置、静态网站托管配置和签名链接行为。确认是否存在通过继承或默认配置生效的通配主体或匿名读取权限。
将公开资源和私有客户数据放在策略不同的存储桶或前缀中。这样，为图片或下载配置的更改就不容易同时暴露备份、导出文件或用户上传的文档。
从外部验证实际暴露情况
在干净会话中使用未认证请求测试有代表性的对象 URL、列表访问和元数据。不要只依赖控制台标签，应通过外部可访问的路径确认实际结果。
为策略变化设置告警或定期检查，并审查可能重新创建权限的部署模板。如果发现公开暴露，应先快速限制访问，再评估哪些数据可被访问以及是否需要轮换凭据或通知相关方。