如何配置MinIO桶为私有但桶内对象可公开访问

核心实现逻辑为桶本身保留私有属性（封禁公共列桶权限），仅单独开放对象级别的公共读权限，该方案不会影响你现有的presigned URL上传流程。

1. 重置桶为私有权限 #

MinIO新建桶默认就是私有权限，如果你之前调整为公开权限，可通过mc命令行改回私有：
首先配置本地MinIO别名（已配置可跳过）：
mc alias set myminio http://你的MinIO服务地址 访问密钥 秘密密钥
执行权限修改命令：
mc anonymous set private myminio/你的目标桶名

2. 配置自定义桶策略 #

添加桶策略，仅允许匿名用户读取单个对象，不开放桶列表权限，策略内容如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": ["*"]},
      "Action": ["s3:GetObject"],
      "Resource": ["arn:aws:s3:::你的目标桶名/*"]
    }
  ]
}

配置策略有两种可选方式：

• 控制台配置：进入对应桶的管理页面，找到「访问策略」选项，选择自定义策略，将上述JSON内容替换桶名后粘贴保存即可
• 命令行配置：将上述JSON内容保存为policy.json文件，执行命令 mc anonymous set-json policy.json myminio/你的目标桶名

如果需要限制仅特定路径下的文件可公开访问，修改策略中Resource的路径匹配规则即可，比如仅开放public目录下的文件，就将Resource改为arn:aws:s3:::你的目标桶名/public/*

3. 功能验证 #

• 列桶权限验证：直接访问桶根地址 http://你的MinIO服务地址/你的目标桶名，返回403错误即代表列桶权限已封禁
• 对象访问验证：上传任意测试文件后，访问对应对象的完整路径 http://你的MinIO服务地址/你的目标桶名/测试文件名，可正常读取即代表对象公开访问生效
• 上传逻辑验证：原有Node.js生成presigned put URL、浏览器fetch上传的逻辑无需任何修改，可正常运行

内容的提问来源于stack exchange，提问作者j10