第2章 对象存储服务概览：主流加密特性对比
咱们做加密SDK调试，得先摸清楚各家对象存储服务到底支不支持、怎么支持的。我入行那会儿，光看S3文档就折腾了两天，后来被生产环境数据泄露搞怕了——嗯，从那以后每接一个项目，第一件事就是拉个加密特性对照表。
这章咱们一起过一遍AWS S3、阿里云OSS、腾讯云COS的加密能力。说白了就是你选云服务商时心里要有数，哪些加密策略是你的SDK要调的，哪些是平台自动帮你搞定的。
2.1 服务端加密（SSE）—— 这步最简单
服务端加密，意思是数据上传到对象存储后，由存储后端帮你加密写盘。你取数据时，后端自动解密返回。我这两年见过不少团队，一开始嫌麻烦跳过，后来审计过不了，还得补配置。
各家实现方式大同小异，核心差异在于密钥归谁管：
| 服务商 | SSE-S3/COS/OSS | SSE-KMS | SSE-C（客户提供密钥） |
|---|---|---|---|
| AWS S3 | ✅ 默认启用，AES-256 | ✅ AWS KMS托管 | ✅ 每次请求传密钥 |
| 阿里云 OSS | ✅ 默认AES-256，叫OSS完全托管 | ✅ KMS（需开通密钥管理服务） | ❌ 不支持 |
| 腾讯云 COS | ✅ 默认AES-256，叫COS托管密钥 | ✅ 通过CAM+KMS | ✅ 支持，但叫自定义密钥 |
2.2 客户端加密（CSE）—— 密钥得自己管
有些合规场景要求数据离开客户端就得加密。这时候服务端加密不够，得用客户端加密。说白了就是你自己在SDK里把数据先加密成密文，再上传。我去年帮一家金融客户做过，他们内部要求“地板上铺满加密”，连传输管道也要加密。
各家CSE的实现方式也不太一样：
- AWS S3：提供S3 Encryption Client，支持AES-256-GCM和RSA包装密钥。嗯，这个我踩过坑——加密上下文（Encryption Context）没传对，解密时会报错。
- 阿里云 OSS：支持客户端加密SDK（Java/.NET），封装了CBC和GCM模式。我记得旧版本默认是AES-256-CBC，GCM需要手动指定。
- 腾讯云 COS：提供cos-java-sdk-v5的加密模块，支持AES-256-GCM，密钥可以存KMS或者本地。避坑指南：我当时在Postman调试时不知道客户端加密SDK会在对象元数据里插特殊的x-cos-meta-*头，导致第三方工具解析失败。
2.3 传输加密（TLS/HTTPS）—— 别忽略这层
有人说“我都客户端加密了还管传输干嘛”？其实两端加密是叠加关系，不是替代关系。你看所有主流对象存储服务都强制走HTTPS，但SDK默认可能是HTTP。我调试时第一件事就检查endpoint是不是https://开头。
三个服务的传输加密要求：
- AWS S3：所有Bucket默认阻止HTTP访问，除非你手动关闭。
- 阿里云 OSS：Bucket Policy里可以配置“仅允许HTTPS访问”，我建议生产环境一定要开。
- 腾讯云 COS：同样支持，通过Bucket的“访问策略”设置。
2.4 密钥轮换与生命周期—— 很多新手忘了
加密不只是上传时设个头那么简单。密钥轮换、过期、版本管理，这些在SDK参数调试里也需要考虑。比如你用SSE-KMS，KMS的密钥别名、Key ID、自动轮换周期，这些参数会直接影响SDK的初始化配置。我刚开始调的时候，一直用默认密钥，后来平台提醒密钥即将过期——当时汗就下来了。
一张图帮你理清主流加密特性以及它们的关系：
2.5 各服务加密SDK参数速查
调SDK时最烦的就是参数命名不一致。同一个概念，S3叫x-amz-server-side-encryption，OSS叫x-oss-server-side-encryption，COS叫x-cos-server-side-encryption。我习惯拿这个表对照着写代码：
| 功能点 | AWS S3 | 阿里云 OSS | 腾讯云 COS |
|---|---|---|---|
| SSE 请求头 | x-amz-server-side-encryption: AES256 |
x-oss-server-side-encryption: AES256 |
x-cos-server-side-encryption: AES256 |
| KMS 密钥参数 | x-amz-server-side-encryption-aws-kms-key-id |
x-oss-server-side-encryption-key-id |
x-cos-server-side-encryption-cos-kms-key-id |
| SSE-C 密钥头 | x-amz-server-side-encryption-customer-key |
不支持 | x-cos-server-side-encryption-customer-key |
| 客户端加密SDK包名 | software.amazon.awssdk:encryption |
oss-sdk-crypto（Java） |
cos-java-sdk-v5-crypto |
2.6 选型建议：针对你的调试场景
如果你是第一次调对象存储加密，我倾向于推荐这样起步：
- 先跑通HTTPS：检查Endpoint协议，一行代码搞定。
- 然后试SSE-S3/OSS/COS：只需要在PutObjectRequest里加一个头，简单粗暴。
- 再切换到KMS：验证密钥ID参数传递是否正常，注意IAM/CAM权限。
- 最后试客户端加密：这是最复杂的部分，需要额外处理密钥材料和元数据。
说白了，别一上来就搞全套，分层验证，每一层调试通了再叠下一层。我自己调SDK参数时，连Postman都会先用Header方式测试SSE是否生效，再用SDK封装。
记住：加密不是你配置了就万事大吉，要读响应头确认。比如S3返回的x-amz-server-side-encryption会告诉你端到端是什么加密模式。我在内审时就用这个逻辑抓过几次“自以为加密了其实没加密”的情况。