すべてのプロダクト
Search
ドキュメントセンター

Object Storage Service:クライアントから OSS への直接アップロード

最終更新日:Mar 07, 2026

クライアントから OSS への直接アップロード(Direct client upload)では、クライアントから Object Storage Service (OSS) へファイルを直接アップロードできます。サーバーサイドのプロキシアップロードとは異なり、この方法ではファイルがアプリケーションサーバーを経由しないため、アップロード速度が向上し、サーバーリソースの消費を抑えることができます。本トピックでは、直接アップロードのメリット、セキュリティ実装方法、およびベストプラクティスについて説明します。

クライアントから OSS への直接アップロードを採用する理由

典型的なサーバー・クライアント構成では、ファイルアップロードにサーバーサイドのプロキシ方式がよく用いられます。この場合、クライアントはファイルをアプリケーションサーバーにアップロードし、アプリケーションサーバーがそのファイルを OSS へ再アップロードします。このプロセスでは、データがネットワーク上で 2 回転送されるため、不要なネットワークリソースを消費し、サーバー側のリソースオーバーヘッドも増加します。この課題を解決するため、アプリケーションサーバーをバイパスしてクライアントを OSS に直接接続し、ファイルをアップロードする方法が採用されます。

image

クライアント直接アップロードの実装方法

クライアントから OSS への直接アップロードを実装するには、以下の 2 つの主な課題に対処する必要があります:

クロスオリジンアクセス

クライアントが Web アプリケーションまたはミニプログラムである場合、クロスオリジンアクセス制限に対応する必要があります。セキュリティ上の理由から、ブラウザおよびミニプログラムコンテナは通常、クロスオリジンアクセスを制限しています。この制限により、クライアントサイドのコードが OSS に直接接続できなくなります。この問題を解決するには、OSS バケットに対してクロスオリジンアクセスルールを設定し、指定されたドメインからの Web アプリケーションまたはミニプログラムが OSS に直接アクセスできるようにします。詳細については、「クロスオリジン設定」をご参照ください。

安全な権限付与

OSS へのファイルアップロードには、Resource Access Management (RAM) ユーザーの AccessKey ペアを用いた署名認証が必要です。しかし、クライアント側に長期有効な AccessKey ペアを格納すると、それが漏洩するリスクがあり、セキュリティ上の懸念が生じます。この課題に対処するため、以下のいずれかのソリューションを採用して、安全なアップロードを実現してください。

  • サーバーで STS 一時アクセス資格情報を生成

    ほとんどのファイルアップロードシナリオでは、サーバー上で Security Token Service (STS) SDK を使用して STS 一時アクセス資格情報を取得することを推奨します。クライアントは、これらの一時資格情報と OSS SDK を用いてファイルを直接アップロードできます。また、サーバーで生成された STS 一時アクセス資格情報を再利用して署名を作成できます。この方法は、大規模ファイルのフラグメントアップロードや再開可能なアップロードを伴うシナリオに適しています。ただし、STS サービスへの頻繁な呼び出しは速度制限(throttling)を引き起こす可能性があるため、STS 一時資格情報をキャッシュし、有効期限切れ前に更新することを推奨します。また、クライアントによる STS 一時アクセス資格情報の不正利用を防止するため、アクセスポリシーを追加して権限をさらに制限することを推奨します。詳細については、「STS とは」をご参照ください。

  • サーバーで PostObject に必要な署名および Post Policy を生成

    アップロードファイルの属性を制限する必要があるシナリオでは、サーバーで PostObject に必要な署名、PostPolicy、およびその他の情報を生成できます。クライアントは、これらの情報を用いて、特定の制約のもとでファイルを直接アップロードできます(OSS SDK の依存なし)。サーバーで生成された PostPolicy を用いて、クライアントがアップロードするファイルを制限できます(例:ファイルサイズやファイルタイプの制限)。このソリューションは、HTML フォームを用いたファイルアップロードに適しています。ただし、このソリューションは大規模ファイルのフラグメントアップロードや再開可能なアップロードをサポートしません。詳細については、「PostObject」をご参照ください。

  • サーバーで PutObject に必要な署名付き URL を生成

    シンプルなファイルアップロードシナリオでは、サーバーで OSS SDK を用いて PutObject に必要な署名付き URL を生成できます。クライアントは、この署名付き URL を用いて OSS へファイルを直接アップロードできます(OSS SDK の依存なし)。ただし、このソリューションは大規模ファイルのフラグメントアップロードや再開可能なアップロードには適していません。各パートごとにサーバーで署名付き URL を生成し、クライアントに返却すると、サーバーとのやり取り回数およびネットワークリクエストの複雑さが増加します。さらに、クライアントがパートの内容や順序を変更した場合、マージ後のファイルが不正になる可能性があります。詳細については、「Signature V1」をご参照ください。

サーバーで STS 一時アクセス資格情報を生成

以下に、サーバーが STS 一時アクセス資格情報を用いてクライアントに OSS へのファイルアップロードを許可する手順を示します。

image
  1. クライアントがアプリケーションサーバーに対して一時アクセス資格情報の取得を要求します。

  2. アプリケーションサーバーが STS SDK を用いて AssumeRole 操作を呼び出し、一時アクセス資格情報を取得します。

  3. STS が一時アクセス資格情報を生成し、アプリケーションサーバーに返却します。

  4. アプリケーションサーバーが一時アクセス資格情報をクライアントに返却します。

  5. クライアントが OSS SDK および一時アクセス資格情報を用いて、ファイルを OSS にアップロードします。

  6. OSS がクライアントに対して成功レスポンスを返却します。

サンプルコード

以下にコアコードのスニペットを示します。完全なコードについては、サンプルプロジェクトをご参照ください:sts.zip

サーバー側のサンプルコード

以下に、サーバーで一時アクセス資格情報を生成する方法を示すサンプルコードを記載します。

説明

このコードはワンクリックデプロイメントに対応しています。Function Compute (FC) へワンクリックでデプロイ可能です。oss-upload-sts-app

Python

import json
from alibabacloud_tea_openapi.models import Config
from alibabacloud_sts20150401.client import Client as Sts20150401Client
from alibabacloud_sts20150401 import models as sts_20150401_models
from alibabacloud_credentials.client import Client as CredentialClient

# <YOUR_ROLE_ARN> を、指定された OSS バケットへのファイルアップロード権限を持つ RAM ロールの ARN に置き換えます。
role_arn_for_oss_upload = '<YOUR_ROLE_ARN>'
# STS サービスのリージョン(例:cn-hangzhou)を <YOUR_REGION_ID> に設定します。
region_id = '<YOUR_REGION_ID>'

def get_sts_token():
    # パラメーターを指定せずに CredentialClient を初期化すると、デフォルトの認証情報チェーンが使用されます。
    # ローカル環境でプログラムを実行する場合は、ALIBABA_CLOUD_ACCESS_KEY_ID および ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を用いて AccessKey ペアを指定できます。
    # ECS インスタンス、ECI インスタンス、または Container Service 上でプログラムを実行する場合は、ALIBABA_CLOUD_ECS_METADATA 環境変数を用いてアタッチされたインスタンス RAM ロールを指定できます。SDK が自動的に STS 一時資格情報を取得します。
    config = Config(region_id=region_id, credential=CredentialClient())
    sts_client = Sts20150401Client(config=config)
    assume_role_request = sts_20150401_models.AssumeRoleRequest(
        role_arn=role_arn_for_oss_upload,
        # <YOUR_ROLE_SESSION_NAME> をカスタムセッション名(例:oss-role-session)に設定します。
        role_session_name='<YOUR_ROLE_SESSION_NAME>'
    )
    response = sts_client.assume_role(assume_role_request)
    token = json.dumps(response.body.credentials.to_map())
    return token

Java

import com.aliyun.sts20150401.Client;
import com.aliyun.sts20150401.models.AssumeRoleRequest;
import com.aliyun.sts20150401.models.AssumeRoleResponse;
import com.aliyun.sts20150401.models.AssumeRoleResponseBody;
import com.aliyun.tea.TeaException;
import com.aliyun.teautil.models.RuntimeOptions;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
import com.aliyun.teaopenapi.models.Config;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import static com.aliyun.teautil.Common.assertAsString;

@RestController
public class StsController {

    @Autowired
    private Client stsClient;

    @GetMapping("/get_sts_token_for_oss_upload")
    public AssumeRoleResponseBody.AssumeRoleResponseBodyCredentials generateStsToken() {
        AssumeRoleRequest assumeRoleRequest = new AssumeRoleRequest()
            .setDurationSeconds(3600L)
            // <YOUR_ROLE_SESSION_NAME> をカスタムセッション名(例:my-website-server)に設定します。
            .setRoleSessionName("<YOUR_ROLE_SESSION_NAME>")
            // <YOUR_ROLE_ARN> を、指定された OSS バケットへのファイルアップロード権限を持つ RAM ロールの ARN に置き換えます。ロール ARN は RAM ロールの詳細ページから取得できます。
            .setRoleArn("<YOUR_ROLE_ARN>");
        RuntimeOptions runtime = new RuntimeOptions();
        try {
            AssumeRoleResponse response = stsClient.assumeRoleWithOptions(assumeRoleRequest, runtime);
            return response.body.credentials;
        } catch (TeaException error) {
            // 必要に応じてエラーを出力します。
            assertAsString(error.message);
            return null;
        } catch (Exception error) {
            assertAsString(error.getMessage());
            return null;
        }
    }
}

@Configuration
public class StsClientConfiguration {

    @Bean
    public Client stsClient() {
        // 認証情報クライアントを初期化する際にパラメーターを渡さない場合、Credentials ツールはデフォルトの認証情報チェーンを使用してクライアントを初期化します。
        Config config = new Config();
        config.endpoint = "sts.cn-hangzhou.aliyuncs.com";
        try {
            com.aliyun.credentials.Client credentials = new com.aliyun.credentials.Client();
            config.setCredential(credentials);
            return new Client(config);
        } catch (Exception e) {
            e.printStackTrace();
            return null;
        }
    }
}

Go

package main

import (
    "encoding/json"
    "net/http"
    "os"

    openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
    sts20150401 "github.com/alibabacloud-go/sts-20150401/v2/client"
    util "github.com/alibabacloud-go/tea-utils/v2/service"
    "github.com/alibabacloud-go/tea/tea"
)

/**
 * AccessKey ペアを用いてクライアントを初期化します。
 * @param accessKeyId
 * @param accessKeySecret
 * @return Client
 * @throws Exception
 */
func CreateClient(accessKeyId *string, accessKeySecret *string) (*sts20150401.Client, error) {
    config := &openapi.Config{
    // 必須。AccessKey ID。
    AccessKeyId: accessKeyId,
    // 必須。AccessKey Secret。
    AccessKeySecret: accessKeySecret,
    }
    // エンドポイントの詳細については、https://api.aliyun.com/product/Sts をご参照ください。
    config.Endpoint = tea.String("sts.cn-hangzhou.aliyuncs.com")
    return sts20150401.NewClient(config)
}

func AssumeRole(client *sts20150401.Client) (*sts20150401.AssumeRoleResponse, error) {
    assumeRoleRequest := &sts20150401.AssumeRoleRequest{
    DurationSeconds: tea.Int64(3600),
    RoleArn:         tea.String("acs:ram::1379186349531844:role/admin-oss"),
    RoleSessionName: tea.String("peiyu-demo"),
    }
    return client.AssumeRoleWithOptions(assumeRoleRequest, &util.RuntimeOptions{})
}

func handler(w http.ResponseWriter, r *http.Request) {
    if r.URL.Path == "/" {
    http.ServeFile(w, r, "templates/index.html")
    return
    } else if r.URL.Path == "/get_sts_token_for_oss_upload" {
    client, err := CreateClient(tea.String(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")), tea.String(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")))
    if err != nil {
    panic(err)
    }
    assumeRoleResponse, err := AssumeRole(client)
    if err != nil {
    panic(err)
    }
    responseBytes, err := json.Marshal(assumeRoleResponse)
    if err != nil {
    panic(err)
    }
    w.Header().Set("Content-Type", "application/json")
    w.Write(responseBytes)
    return
    }
    http.NotFound(w, r)
}

func main() {
    http.HandleFunc("/", handler)
    http.ListenAndServe(":8080", nil)
}

PHP

<?php
require_once 'vendor/autoload.php';
use AlibabaCloud\Client\AlibabaCloud;
use AlibabaCloud\Client\Exception\ClientException;
use AlibabaCloud\Client\Exception\ServerException;
use AlibabaCloud\Sts\Sts;
// Alibaba Cloud クライアントを初期化します。
AlibabaCloud::accessKeyClient(getenv('ALIBABA_CLOUD_ACCESS_KEY_ID'), getenv('ALIBABA_CLOUD_ACCESS_KEY_SECRET'))
    ->regionId('cn-hangzhou')
    ->asDefaultClient();
// STS リクエストを作成します。
$request = Sts::v20150401()->assumeRole();
// STS リクエストを発行し、結果を取得します。
// <YOUR_ROLE_SESSION_NAME> をカスタムセッション名(例:oss-role-session)に設定します。
// <YOUR_ROLE_ARN> を、指定された OSS バケットへのファイルアップロード権限を持つ RAM ロールの ARN に置き換えます。
$result = $request
    ->withRoleSessionName("<YOUR_ROLE_SESSION_NAME>")
    ->withDurationSeconds(3600)
    ->withRoleArn("<YOUR_ROLE_ARN>")
    ->request();
// STS リクエスト結果から認証情報を取得します。
$credentials = $result->get('Credentials');
// 返却する JSON データを構築します。
$response = [
    'AccessKeyId' => $credentials['AccessKeyId'],
    'AccessKeySecret' => $credentials['AccessKeySecret'],
    'SecurityToken' => $credentials['SecurityToken'],
];
// レスポンスヘッダーを application/json に設定します。
header('Content-Type: application/json');
// 結果を JSON 形式に変換して出力します。
echo json_encode(['Credentials' => $response]);
?>

Node.js

const express = require("express");
const { STS } = require('ali-oss');

const app = express();
const path = require("path");

app.use(express.static(path.join(__dirname, "templates")));
// ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
const accessKeyId = process.env.ALIBABA_CLOUD_ACCESS_KEY_ID;
// ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
const accessKeySecret = process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET;

app.get('/get_sts_token_for_oss_upload', (req, res) => {
  let sts = new STS({
   accessKeyId: accessKeyId,
   accessKeySecret: accessKeySecret
 });
   // roleArn を、ステップ 2 で取得したロールの ARN(例:acs:ram::175708322470****:role/ramtest)に設定します。
   // policy を、STS 一時アクセス資格情報の権限をさらに制限するカスタムアクセスポリシーに設定します。ポリシーを指定しない場合、返却される STS 一時アクセス資格情報は、指定されたロールのすべての権限を持ちます(デフォルト)。
   // 3000 は有効期限(秒単位)です。
   // sessionName を用いて、異なるトークンを区別するカスタムロールセッション名(例:sessiontest)を指定します。
   sts.assumeRole('<YOUR_ROLE_ARN>', ``, '3000', 'sessiontest').then((result) => {
     console.log(result);
     res.json({
       AccessKeyId: result.credentials.AccessKeyId,
       AccessKeySecret: result.credentials.AccessKeySecret,
       SecurityToken: result.credentials.SecurityToken,
     });
   }).catch((err) => {
     console.log(err);
     res.status(400).json(err.message);
   });
 });

app.listen(8000, () => {
  console.log("http://127.0.0.1:8000");
});

Ruby

require 'sinatra'
require 'base64'
require 'open-uri'
require 'cgi'
require 'openssl'
require 'json'
require 'sinatra/reloader'
require 'sinatra/content_for'
require 'aliyunsdkcore'

# 公開フォルダのパスを、現在のディレクトリ内の templates フォルダに設定します。
set :public_folder, File.dirname(__FILE__) + '/templates'

def get_sts_token_for_oss_upload()
  client = RPCClient.new(
    # ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
    access_key_id: ENV['ALIBABA_CLOUD_ACCESS_KEY_ID'],
    # ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
    access_key_secret: ENV['ALIBABA_CLOUD_ACCESS_KEY_SECRET'],
    endpoint: 'https://sts.cn-hangzhou.aliyuncs.com',
    api_version: '2015-04-01'
  )
  response = client.request(
    action: 'AssumeRole',
    params: {
      # RoleArn を、ステップ 2 で取得したロールの ARN(例:acs:ram::175708322470****:role/ramtest)に設定します。
      "RoleArn": "acs:ram::175708322470****:role/ramtest",
      # 3600 は有効期限(秒単位)です。
      "DurationSeconds": 3600,
      # RoleSessionName を用いて、異なるトークンを区別するカスタムロールセッション名(例:sessiontest)を指定します。
      "RoleSessionName": "sessiontest"
    },
    opts: {
      method: 'POST',
      format_params: true
    }
  )
end

if ARGV.length == 1 
  $server_port = ARGV[0]
elsif ARGV.length == 2
  $server_ip = ARGV[0]
  $server_port = ARGV[1]
end

$server_ip = "0.0.0.0"
$server_port = 8000

puts "App server is running on: http://#{$server_ip}:#{$server_port}"

set :bind, $server_ip
set :port, $server_port

get '/get_sts_token_for_oss_upload' do
  token = get_sts_token_for_oss_upload()
  response = {
    "AccessKeyId" => token["Credentials"]["AccessKeyId"],
    "AccessKeySecret" => token["Credentials"]["AccessKeySecret"],
    "SecurityToken" => token["Credentials"]["SecurityToken"]
  }
  response.to_json
end

get '/*' do
  puts "********************* GET "
  send_file File.join(settings.public_folder, 'index.html')
end

C#

using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Http;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Extensions.Logging;
using Aliyun.OSS;
using System;
using System.IO;
using AlibabaCloud.SDK.Sts20150401;
using System.Text.Json;
namespace YourNamespace
{
    public class Program
    {
        private ILogger<Program> _logger;
        public static AlibabaCloud.SDK.Sts20150401.Client CreateClient(string accessKeyId, string accessKeySecret)
        {
            var config = new AlibabaCloud.OpenApiClient.Models.Config
            {
                AccessKeyId = accessKeyId,
                AccessKeySecret = accessKeySecret,
                Endpoint = "sts.cn-hangzhou.aliyuncs.com"
            };
            return new AlibabaCloud.SDK.Sts20150401.Client(config);
        }
        public static void Main(string[] args)
        {
            var builder = WebApplication.CreateBuilder(args);
            var app = builder.Build();
            builder.Logging.AddConsole();
            var serviceProvider = builder.Services.BuildServiceProvider();
            var logger = serviceProvider.GetRequiredService<ILogger<Program>>();
            app.UseStaticFiles();
            app.MapGet("/", async (context) =>
            {
                var filePath = Path.Combine(Directory.GetCurrentDirectory(), "templates/index.html");
                var htmlContent = await File.ReadAllTextAsync(filePath);
                await context.Response.WriteAsync(htmlContent);
                logger.LogInformation("GET request to root path");
            });
            app.MapGet("/get_sts_token_for_oss_upload", async (context) =>
            {
                var program = new Program(logger);
                var client = CreateClient(Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID"), Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET"));
                var assumeRoleRequest = new AlibabaCloud.SDK.Sts20150401.Models.AssumeRoleRequest();
                // <YOUR_ROLE_SESSION_NAME> をカスタムセッション名(例:oss-role-session)に設定します。
                assumeRoleRequest.RoleSessionName = "<YOUR_ROLE_SESSION_NAME>";
                // <YOUR_ROLE_ARN> を、指定された OSS バケットへのファイルアップロード権限を持つ RAM ロールの ARN に置き換えます。
                assumeRoleRequest.RoleArn = "<YOUR_ROLE_ARN>";
                assumeRoleRequest.DurationSeconds = 3600;
                var runtime = new AlibabaCloud.TeaUtil.Models.RuntimeOptions();
                var response = client.AssumeRoleWithOptions(assumeRoleRequest, runtime);
                var credentials = response.Body.Credentials;
                var jsonResponse = JsonSerializer.Serialize(new
                {
                    AccessKeyId = credentials.AccessKeyId,
                    AccessKeySecret = credentials.AccessKeySecret,
                    Expiration = credentials.Expiration,
                    SecurityToken = credentials.SecurityToken
                });
                context.Response.ContentType = "application/json";
                await context.Response.WriteAsync(jsonResponse);
            });
            app.Run();
        }
        public Program(ILogger<Program> logger)
        {
            _logger = logger;
        }
    }
}

クライアント側のサンプルコード

以下に、Web クライアントが一時アクセス資格情報を用いて OSS へファイルをアップロードする方法を示すサンプルコードを記載します。

let credentials = null;
const form = document.querySelector("form");
form.addEventListener("submit", async (event) => {
  event.preventDefault();
  // STS サービスへの呼び出し回数を削減するため、現在の資格情報が有効期限切れの場合のみ再度取得します。
  if (isCredentialsExpired(credentials)) {
    const response = await fetch("/get_sts_token_for_oss_upload", {
      method: "GET",
    });
    if (!response.ok) {
      // エラー HTTP ステータスコードを処理します。
      throw new Error(
        `STS トークンの取得に失敗しました:${response.status} ${response.statusText}`
      );
    }
    credentials = await response.json();
  }
  const client = new OSS({
    // <YOUR_BUCKET> をご利用の OSS バケット名に設定します。
    bucket: "<YOUR_BUCKET>",
    // <YOUR_REGION> をご利用の OSS バケットが配置されているリージョン(例:region: 'oss-cn-hangzhou')に設定します。
    region: "oss-<YOUR_REGION>",
    accessKeyId: credentials.AccessKeyId,
    accessKeySecret: credentials.AccessKeySecret,
    stsToken: credentials.SecurityToken,
  });

  const fileInput = document.querySelector("#file");
  const file = fileInput.files[0];
  const result = await client.put(file.name, file);
  console.log(result);
});

/**
 * 一時資格情報が有効期限切れかどうかを確認します。
 **/
function isCredentialsExpired(credentials) {
  if (!credentials) {
    return true;
  }
  const expireDate = new Date(credentials.Expiration);
  const now = new Date();
  // 有効期間が 1 分未満の場合、資格情報は有効期限切れと見なされます。
  return expireDate.getTime() - now.getTime() <= 60000;
}

サーバーで PostObject に必要な署名および Post Policy を生成

以下に、サーバーが Post 署名および Post Policy を用いてクライアントに OSS へのファイルアップロードを許可する手順を示します。

image
  1. クライアントがアプリケーションサーバーに対して Post 署名、Post Policy、およびその他の情報を要求します。

  2. アプリケーションサーバーが Post 署名、Post Policy、およびその他の情報を生成し、クライアントに返却します。

  3. クライアントが Post 署名、Post Policy、およびその他の情報を用いて PostObject 操作を呼び出し、HTML フォーム経由で OSS へファイルをアップロードします。

  4. OSS がクライアントに対して成功レスポンスを返却します。

サンプルコード

以下にコアコードのスニペットを示します。完全なコードについては、サンプルプロジェクトをご参照ください:postsignature.zip

サーバー側のサンプルコード

以下に、サーバーで Post 署名、Post Policy、およびその他の情報を生成する方法を示すサンプルコードを記載します。

説明

このコードはワンクリックデプロイメントに対応しています。Function Compute (FC) へワンクリックでデプロイ可能です。oss-upload-post-signature-app

Python

import os
from hashlib import sha1 as sha
import json
import base64
import hmac
import datetime
import time

# OSS_ACCESS_KEY_ID 環境変数を設定します。
access_key_id = os.environ.get('OSS_ACCESS_KEY_ID')
# OSS_ACCESS_KEY_SECRET 環境変数を設定します。
access_key_secret = os.environ.get('OSS_ACCESS_KEY_SECRET')
# <YOUR_BUCKET> をご利用のバケット名に置き換えます。
bucket = '<YOUR_BUCKET>'
# ホスト形式は bucketname.endpoint です。<YOUR_BUCKET> をご利用のバケット名に、<YOUR_ENDPOINT> を OSS エンドポイント(例:oss-cn-hangzhou.aliyuncs.com)に置き換えます。
host = 'https://<YOUR_BUCKET>.<YOUR_ENDPOINT>'
# OSS へアップロードするファイルのプレフィックスを指定します。
upload_dir = 'user-dir-prefix/'
# 有効期限(秒単位)を指定します。
expire_time = 3600


def generate_expiration(seconds):
    """
    有効期間(秒単位)を指定して有効期限を生成します。
    :param seconds: 有効期間(秒単位)。
    :return: ISO 8601 形式のタイムスタンプ文字列(例:"2014-12-01T12:00:00.000Z")。
    """
    now = int(time.time())
    expiration_time = now + seconds
    gmt = datetime.datetime.utcfromtimestamp(expiration_time).isoformat()
    gmt += 'Z'
    return gmt


def generate_signature(access_key_secret, expiration, conditions, policy_extra_props=None):
    """
    署名文字列を生成します。
    :param access_key_secret: 宛先バケットへのアクセス権限を持つアカウントの AccessKey Secret。
    :param expiration: 署名の有効期限(ISO 8601 形式、UTC)。例:"2014-12-01T12:00:00.000Z"。
    :param conditions: フォームアップロード時に許可される値を制限するポリシー条件。
    :param policy_extra_props: 追加のポリシーパラメーター。ポリシーに新しいパラメーターが追加された場合、辞書として渡すことができます。
    :return: signature、署名文字列。
    """
    policy_dict = {
        'expiration': expiration,
        'conditions': conditions
    }
    if policy_extra_props is not None:
        policy_dict.update(policy_extra_props)
    policy = json.dumps(policy_dict).strip()
    policy_encode = base64.b64encode(policy.encode())
    h = hmac.new(access_key_secret.encode(), policy_encode, sha)
    sign_result = base64.b64encode(h.digest()).strip()
    return sign_result.decode()

def generate_upload_params():
    policy = {
        # 有効期間。
        "expiration": generate_expiration(expire_time),
        # 制約条件。
        "conditions": [
            # success_action_redirect が指定されていない場合の、アップロード成功時のステータスコード。デフォルト値は 204 です。
            ["eq", "$success_action_status", "200"],
            # フォームフィールドの値が指定されたプレフィックスで始まらなければならないことを指定します。たとえば、key の値が user/user1 で始まることを指定するには、["starts-with", "$key", "user/user1"] と記述します。
            ["starts-with", "$key", upload_dir],
            # アップロードされるオブジェクトのサイズ(バイト単位)の最小値および最大値を制限します。
            ["content-length-range", 1, 1000000],
            # アップロードされるファイルを指定された画像タイプに制限します。
            ["in", "$content-type", ["image/jpg", "image/png"]]
        ]
    }
    signature = generate_signature(access_key_secret, policy.get('expiration'), policy.get('conditions'))
    response = {
        'policy': base64.b64encode(json.dumps(policy).encode('utf-8')).decode(),
        'ossAccessKeyId': access_key_id,
        'signature': signature,
        'host': host,
        'dir': upload_dir
        # その他パラメーターをここに追加できます。
    }
    return json.dumps(response)

Java

package com.aliyun.sample;

import com.aliyun.oss.ClientException;
import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.common.utils.BinaryUtil;
import com.aliyun.oss.model.MatchMode;
import com.aliyun.oss.model.PolicyConditions;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.ResponseBody;
import org.codehaus.jettison.json.JSONObject;
import java.util.Date;

@Controller
public class PostSignatureController {
    @Autowired
    private OSS ossClient;

    @Autowired
    private OssConfig ossConfig;

    @GetMapping("/get_post_signature_for_oss_upload")
    @ResponseBody
    public String generatePostSignature() {
        JSONObject response = new JSONObject();
        try {
            long expireEndTime = System.currentTimeMillis() + ossConfig.getExpireTime() * 1000;
            Date expiration = new Date(expireEndTime);
            PolicyConditions policyConds = new PolicyConditions();
            policyConds.addConditionItem(PolicyConditions.COND_CONTENT_LENGTH_RANGE, 0, 1048576000);
            policyConds.addConditionItem(MatchMode.StartWith, PolicyConditions.COND_KEY, ossConfig.getDir());
            String postPolicy = ossClient.generatePostPolicy(expiration, policyConds);
            byte[] binaryData = postPolicy.getBytes("utf-8");
            String encodedPolicy = BinaryUtil.toBase64String(binaryData);
            String postSignature = ossClient.calculatePostSignature(postPolicy);
            response.put("ossAccessKeyId", ossConfig.getAccessKeyId());
            response.put("policy", encodedPolicy);
            response.put("signature", postSignature);
            response.put("dir", ossConfig.getDir());
            response.put("host", ossConfig.getHost());
        } catch (OSSException oe) {
            System.out.println("OSSException が発生しました。これは、リクエストが OSS に到達しましたが、何らかの理由でエラー応答で拒否されたことを意味します。");
            System.out.println("HTTP ステータスコード:" + oe.getRawResponseError());
            System.out.println("エラーメッセージ:" + oe.getErrorMessage());
            System.out.println("エラーコード:" + oe.getErrorCode());
            System.out.println("リクエスト ID:" + oe.getRequestId());
            System.out.println("ホスト ID:" + oe.getHostId());
        } catch (ClientException ce) {
            System.out.println("ClientException が発生しました。これは、OSS との通信中にクライアントが深刻な内部問題(ネットワークにアクセスできないなど)に遭遇したことを意味します。");
            System.out.println("エラーメッセージ:" + ce.getMessage());
        } catch (Exception e) {
            System.out.println("予期せぬ例外が発生しました:" + e.getMessage());
        }
        return response.toString();
    }
}

Go

package main

import (
	"crypto/hmac"
	"crypto/sha1"
	"encoding/base64"
	"encoding/json"
	"fmt"
	"io"
	"net/http"
	"os"
	"time"
)

var (
	// OSS_ACCESS_KEY_ID 環境変数を設定します。
	accessKeyId = os.Getenv("OSS_ACCESS_KEY_ID")
	// OSS_ACCESS_KEY_SECRET 環境変数を設定します。
	accessKeySecret = os.Getenv("OSS_ACCESS_KEY_SECRET")
	// ホスト形式は bucketname.endpoint です。${your-bucket} をご利用のバケット名に、${your-endpoint} を OSS エンドポイント(例:oss-cn-hangzhou.aliyuncs.com)に置き換えます。
	host = "http://${your-bucket}.${your-endpoint}"
	// OSS へアップロードするファイルのプレフィックスを指定します。
	uploadDir = "user-dir-prefix/"
	// 有効期限(秒単位)を指定します。
	expireTime = int64(3600)
)

type ConfigStruct struct {
	Expiration string          `json:"expiration"`
	Conditions [][]interface{} `json:"conditions"`
}

type PolicyToken struct {
	AccessKeyId string `json:"ossAccessKeyId"`
	Host        string `json:"host"`
	Signature   string `json:"signature"`
	Policy      string `json:"policy"`
	Directory   string `json:"dir"`
}

func getGMTISO8601(expireEnd int64) string {
	return time.Unix(expireEnd, 0).UTC().Format("2006-01-02T15:04:05Z")
}

func getPolicyToken() string {
	now := time.Now().Unix()
	expireEnd := now + expireTime
	tokenExpire := getGMTISO8601(expireEnd)

	var config ConfigStruct
	config.Expiration = tokenExpire

	// ファイルプレフィックス制限を追加します。
	config.Conditions = append(config.Conditions, []interface{}{"starts-with", "$key", uploadDir})

	// ファイルサイズ制限を追加します(例:1 KB ~ 10 MB)。
	minSize := int64(1024)
	maxSize := int64(10 * 1024 * 1024)
	config.Conditions = append(config.Conditions, []interface{}{"content-length-range", minSize, maxSize})

	result, err := json.Marshal(config)
	if err != nil {
		fmt.Println("callback json err:", err)
		return ""
	}

	encodedResult := base64.StdEncoding.EncodeToString(result)
	h := hmac.New(sha1.New, []byte(accessKeySecret))
	io.WriteString(h, encodedResult)
	signedStr := base64.StdEncoding.EncodeToString(h.Sum(nil))

	policyToken := PolicyToken{
		AccessKeyId: accessKeyId,
		Host:        host,
		Signature:   signedStr,
		Policy:      encodedResult,
		Directory:   uploadDir,
	}

	response, err := json.Marshal(policyToken)
	if err != nil {
		fmt.Println("json err:", err)
		return ""
	}

	return string(response)
}

func handler(w http.ResponseWriter, r *http.Request) {
	if r.URL.Path == "/" {
		http.ServeFile(w, r, "templates/index.html")
		return
	} else if r.URL.Path == "/get_post_signature_for_oss_upload" {
		policyToken := getPolicyToken()
		w.Header().Set("Content-Type", "application/json")
		w.Write([]byte(policyToken))
		return
	}
	http.NotFound(w, r)
}

func main() {
	http.HandleFunc("/", handler)
	http.ListenAndServe(":8080", nil)
}

PHP

<?php
function gmt_iso8601($time)
{
    return str_replace('+00:00', '.000Z', gmdate('c', $time));
}

// 環境変数からアクセス認証情報を取得します。このサンプルコードを実行する前に、ALIBABA_CLOUD_ACCESS_KEY_ID および ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数が設定されていることを確認してください。
$accessKeyId = getenv("ALIBABA_CLOUD_ACCESS_KEY_ID");
$accessKeySecret = getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
// $host の形式は '<YOUR-BUCKET>.<YOUR-ENDPOINT>' です。変数を実際の情報に置き換えてください。
$host = 'http://<YOUR-BUCKET>.<YOUR-ENDPOINT>';
// ファイルアップロード時にユーザーが指定するプレフィックス。
$dir = 'user-dir-prefix/';          

$now = time();
// ポリシーの有効期限を 10 秒に設定します。この期間が過ぎると、ポリシーは無効になります。
$expire = 30;  
$end = $now + $expire;
$expiration = gmt_iso8601($end);

// 最大ファイルサイズ。任意で設定できます。
$condition = array(0 => 'content-length-range', 1 => 0, 2 => 1048576000);
$conditions[] = $condition;

// アップロードされるデータは $dir で始まらなければならず、そうでない場合はアップロードが失敗します。このステップは必須ではありませんが、ユーザーがポリシーを介して他のディレクトリにアップロードすることを防ぐために、セキュリティ上推奨されます。
$start = array(0 => 'starts-with', 1 => '$key', 2 => $dir);
$conditions[] = $start;


$arr = array('expiration' => $expiration, 'conditions' => $conditions);
$policy = json_encode($arr);
$base64_policy = base64_encode($policy);
$string_to_sign = $base64_policy;
$signature = base64_encode(hash_hmac('sha1', $string_to_sign, $accessKeySecret, true));

$response = array();
$response['ossAccessKeyId'] = $accessKeyId;
$response['host'] = $host;
$response['policy'] = $base64_policy;
$response['signature'] = $signature;
$response['dir'] = $dir;  
echo json_encode($response);

Node.js

const express = require("express");
const { Buffer } = require("buffer");
const OSS = require("ali-oss");
const app = express();
const path = require("path");
const config = {
  // ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
  accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
  // ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
  accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET,
  // <YOUR-BUCKET> をご利用のバケット名に置き換えます。
  bucket: "<YOUR-BUCKET>",
  // OSS へアップロードするファイルのプレフィックスを指定します。
  dir: "prefix/",
};

app.use(express.static(path.join(__dirname, "templates")));

app.get("/get_post_signature_for_oss_upload", async (req, res) => {
  const client = new OSS(config);
  const date = new Date();
  // 署名の有効期間(秒単位)を設定します。
  date.setSeconds(date.getSeconds() + 3600);
  const policy = {
    expiration: date.toISOString(),
    conditions: [
      // アップロードファイルのサイズ制限を設定します。
      ["content-length-range", 0, 1048576000],
      // ファイルをアップロードできるバケットを制限します。
      { bucket: client.options.bucket },
    ],
  };
  const formData = await client.calculatePostSignature(policy);
  const host = `http://${config.bucket}.${
    (await client.getBucketLocation()).location
  }.aliyuncs.com`.toString();
  const params = {
    policy: formData.policy,
    signature: formData.Signature,
    ossAccessKeyId: formData.OSSAccessKeyId,
    host,
    dir: config.dir,
  };
  res.json(params);
});

app.get(/^(.+)*\.(html|js)$/i, async (req, res) => {
  res.sendFile(path.join(__dirname, "./templates", req.originalUrl));
});

app.listen(8000, () => {
  console.log("http://127.0.0.1:8000");
});

Ruby

require 'sinatra'
require 'base64'
require 'open-uri'
require 'cgi'
require 'openssl'
require 'json'
require 'sinatra/reloader'
require 'sinatra/content_for'

# パブリックフォルダのパスを、現在のディレクトリ内の templates フォルダに設定します。
set :public_folder, File.dirname(__FILE__) + '/templates'

# ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
$access_key_id = ENV['ALIBABA_CLOUD_ACCESS_ID']
# ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
$access_key_secret = ENV['ALIBABA_CLOUD_ACCESS_SECRET']

# $host の形式は <bucketname>.<endpoint> です。<bucketname> および <endpoint> を実際の情報を使用して置き換えてください。
$host = 'http://<bucketname>.<endpoint>';

# ユーザーがアップロードしたファイルのプレフィックス。
$upload_dir = 'user-dir-prefix/'
# 有効期限(秒単位)。
$expire_time = 30
$server_ip = "0.0.0.0"
$server_port = 8000

if ARGV.length == 1 
  $server_port = ARGV[0]
elsif ARGV.length == 2
  $server_ip = ARGV[0]
  $server_port = ARGV[1]
end

puts "アプリケーションサーバーは、http://#{$server_ip}:#{$server_port} で実行中です。"

def hash_to_jason(source_hash)
  jason_string = source_hash.to_json;    

  jason_string.gsub!("\":[", "\": [")
  jason_string.gsub!("\",\"", "\", \"")
  jason_string.gsub!("],\"", "], \"")
  jason_string.gsub!("\":\"", "\": \"")

  jason_string
end


def get_token()
  expire_syncpoint = Time.now.to_i + $expire_time
  expire = Time.at(expire_syncpoint).utc.iso8601()
  response.headers['expire'] = expire
  policy_dict = {}
  condition_arrary = Array.new
  array_item = Array.new
  array_item.push('starts-with')
  array_item.push('$key')
  array_item.push($upload_dir)
  condition_arrary.push(array_item)
  policy_dict["conditions"] = condition_arrary
  policy_dict["expiration"] = expire
  policy = hash_to_jason(policy_dict)
  policy_encode = Base64.strict_encode64(policy).chomp;
  h = OpenSSL::HMAC.digest('sha1', $access_key_secret, policy_encode)
  hs = Digest::MD5.hexdigest(h)
  sign_result = Base64.strict_encode64(h).strip()
  token_dict = {}
  token_dict['ossAccessKeyId'] = $access_key_id
  token_dict['host'] = $host
  token_dict['policy'] = policy_encode
  token_dict['signature'] = sign_result 
  token_dict['expire'] = expire_syncpoint
  token_dict['dir'] = $upload_dir
  result = hash_to_jason(token_dict)
  result
end

set :bind, $server_ip
set :port, $server_port

get '/get_post_signature_for_oss_upload' do
  token = get_token()
  puts "トークン: #{token}"
  token
end

get '/*' do
  puts "********************* GET "
  send_file File.join(settings.public_folder, 'index.html')
end

end

if ARGV.length == 1 
  $server_port = ARGV[0]
elsif ARGV.length == 2
  $server_ip = ARGV[0]
  $server_port = ARGV[1]
end

$server_ip = "0.0.0.0"
$server_port = 8000

puts "アプリケーションサーバーは、http://#{$server_ip}:#{$server_port} で実行中です。"

set :bind, $server_ip
set :port, $server_port

get '/get_sts_token_for_oss_upload' do
  token = get_sts_token_for_oss_upload()
  response = {
    "AccessKeyId" => token["Credentials"]["AccessKeyId"],
    "AccessKeySecret" => token["Credentials"]["AccessKeySecret"],
    "SecurityToken" => token["Credentials"]["SecurityToken"]
  }
  response.to_json
end

get '/*' do
  puts "********************* GET "
  send_file File.join(settings.public_folder, 'index.html')
end

C#

using Microsoft.AspNetCore.Builder;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.AspNetCore.Http;
using System.IO;
using System.Collections.Generic;
using System;
using System.Globalization;
using System.Text;
using System.Security.Cryptography;
using Newtonsoft.Json;
using Microsoft.AspNetCore.Http.Extensions;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Logging;

namespace YourNamespace
{
    public class Program
    {
        private ILogger<Program> _logger;
        // ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
        public string AccessKeyId { get; set; } = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID");
        // ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
        public string AccessKeySecret { get; set; } = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
        // ホスト形式は bucketname.endpoint です。<YOUR-BUCKET> をご利用のバケット名に、<YOUR-ENDPOINT> を OSS エンドポイント(例:oss-cn-hangzhou.aliyuncs.com)に置き換えます。
        public string Host { get; set; } = "<YOUR-BUCKET>.<YOUR-ENDPOINT>";
        // OSS へアップロードするファイルのプレフィックスを指定します。
        public string UploadDir { get; set; } = "user-dir-prefix/";
        // 有効期限(秒単位)を指定します。
        public int ExpireTime { get; set; } = 3600;
        public class PolicyConfig
        {
            public string expiration { get; set; }
            public List<List<object>> conditions { get; set; }
        }
        public class PolicyToken
        {
            public string Accessid { get; set; }
            public string Policy { get; set; }
            public string Signature { get; set; }
            public string Dir { get; set; }
            public string Host { get; set; }
            public string Expire { get; set; }
        }
        public static void Main(string[] args)
        {
            var builder = WebApplication.CreateBuilder(args);
            var app = builder.Build();

            builder.Logging.AddConsole();
            var logger = builder.Services.BuildServiceProvider().GetRequiredService<ILogger<Program>>();

            app.UseStaticFiles(); 

            app.MapGet("/", async (context) =>
            {
                var filePath = Path.Combine(Directory.GetCurrentDirectory(), "templates/index.html");
                var htmlContent = await File.ReadAllTextAsync(filePath);
                await context.Response.WriteAsync(htmlContent);
                logger.LogInformation("GET request to root path");
            });

            app.MapGet("/get_post_signature_for_oss_upload", async (context) =>
            {
                var program = new Program(logger);
                var token = program.GetPolicyToken();

                logger.LogInformation($"Token: {token}");

                context.Response.ContentType = "application/json";
                await context.Response.WriteAsync(token);
            });

            app.Run();
        }

        public Program(ILogger<Program> logger)
        {
            _logger = logger;
        }

        private string ToUnixTime(DateTime dateTime)
        {
            return ((DateTimeOffset)dateTime).ToUnixTimeSeconds().ToString();
        }

        private string GetPolicyToken()
        {
            var expireDateTime = DateTime.Now.AddSeconds(ExpireTime);
            var config = new PolicyConfig
            {
                expiration = FormatIso8601Date(expireDateTime),
                conditions = new List<List<object>>()
            };
            config.conditions.Add(new List<object>
            {
                "content-length-range", 0, 1048576000
            });
            var policy = JsonConvert.SerializeObject(config);
            var policyBase64 = EncodeBase64("utf-8", policy);
            var signature = ComputeSignature(AccessKeySecret, policyBase64);
            var policyToken = new PolicyToken
            {
                Accessid = AccessKeyId,
                Host = Host,
                Policy = policyBase64,
                Signature = signature,
                Expire = ToUnixTime(expireDateTime),
                Dir = UploadDir
            };
            return JsonConvert.SerializeObject(policyToken);
        }

        private string FormatIso8601Date(DateTime dtime)
        {
            return dtime.ToUniversalTime().ToString("yyyy-MM-dd'T'HH:mm:ss.fff'Z'",
                                    CultureInfo.CurrentCulture);
        }

        private string EncodeBase64(string codeType, string code)
        {
            string encode = "";
            byte[] bytes = Encoding.GetEncoding(codeType).GetBytes(code);
            try
            {
                encode = Convert.ToBase64String(bytes);
            }
            catch
            {
                encode = code;
            }
            return encode;
        }

        private string ComputeSignature(string key, string data)
        {
            using (var algorithm = new HMACSHA1(Encoding.UTF8.GetBytes(key)))
            {
                return Convert.ToBase64String(algorithm.ComputeHash(Encoding.UTF8.GetBytes(data)));
            }
        }
    }
}

クライアント側のサンプルコード

以下に、Web クライアントが Post 署名、Post Policy、およびその他の情報を用いて OSS へファイルをアップロードする方法を示すサンプルコードを記載します。

const form = document.querySelector("form");
const fileInput = document.querySelector("#file");
form.addEventListener("submit", (event) => {
  event.preventDefault();
  const file = fileInput.files[0];
  if (!fileInput.files[0]) {
    alert('アップロードするファイルを選択してください。');
    return;
  }
  const filename = fileInput.files[0].name;
  fetch("/get_post_signature_for_oss_upload", { method: "GET" })
    .then((response) => {
      if (!response.ok) {
        throw new Error("署名の取得に失敗しました。");
      }
      return response.json();
    })
    .then((data) => {
      const formData = new FormData();
      formData.append("name", filename);
      formData.append("policy", data.policy);
      formData.append("OSSAccessKeyId", data.ossAccessKeyId);
      formData.append("success_action_status", "200");
      formData.append("signature", data.signature);
      formData.append("key", data.dir + filename);
      formData.append("file", file);

      return fetch(data.host, { method: "POST", body: formData });
    })
    .then((response) => {
      if (response.ok) {
        console.log("アップロード成功");
        alert("ファイルがアップロードされました。");
      } else {
        console.log("アップロード失敗", response);
        alert("アップロードに失敗しました。後ほど再度お試しください。");
      }
    })
    .catch((error) => {
      console.error("エラーが発生しました:", error);
    });
});

サーバーで PutObject に必要な署名付き URL を生成

以下に、サーバーが署名付き URL を用いてクライアントに OSS へのファイルアップロードを許可する手順を示します。

image
  1. クライアントがアプリケーションサーバーに対して署名付き URL の取得を要求します。

  2. アプリケーションサーバーが OSS SDK を用いて PUT 署名付き URL を生成し、クライアントに返却します。

  3. クライアントが PUT 署名付き URL を用いて PutObject 操作を呼び出し、OSS へファイルをアップロードします。

  4. OSS がクライアントに対して成功レスポンスを返却します。

サンプルコード

以下にコアコードのスニペットを示します。完全なコードについては、サンプルプロジェクトをご参照ください:presignedurl.zip

サーバー側のサンプルコード

以下に、サーバーで署名付き URL を生成する方法を示すサンプルコードを記載します。

説明

このコードはワンクリックデプロイメントに対応しています。Function Compute (FC) へワンクリックでデプロイ可能です。oss-upload-presigned-url-app

Python

import oss2
from oss2.credentials import EnvironmentVariableCredentialsProvider

# 環境変数からアクセス認証情報を取得します。このサンプルコードを実行する前に、OSS_ACCESS_KEY_ID および OSS_ACCESS_KEY_SECRET 環境変数が設定されていることを確認してください。
auth = oss2.ProviderAuth(EnvironmentVariableCredentialsProvider())
# <YOUR_ENDPOINT> をご利用のバケットが配置されているリージョンのエンドポイント(例:中国 (杭州) リージョンの場合は https://oss-cn-hangzhou.aliyuncs.com)に置き換えます。
# <YOUR_BUCKET> をご利用のバケット名に置き換えます。
bucket = oss2.Bucket(auth, '<YOUR_ENDPOINT>', '<YOUR_BUCKET>')
# 有効期限(秒単位)を指定します。
expire_time = 3600
# オブジェクトの完全なパス(例:exampledir/exampleobject.png)を指定します。完全なパスにはバケット名を含めないでください。
object_name = 'exampledir/exampleobject.png'

def generate_presigned_url():
    # ヘッダーを指定します。
    headers = dict()
    # Content-Type を指定します。
    headers['Content-Type'] = 'image/png'
    # ストレージクラスを指定します。
    # headers["x-oss-storage-class"] = "Standard"
    # 署名付き URL を生成する際、OSS はデフォルトでオブジェクトの完全なパス内のスラッシュ (/) をエスケープします。これにより、生成された署名付き URL が使用不可になります。
    # slash_safe を True に設定すると、OSS はオブジェクトの完全なパス内のスラッシュ (/) をエスケープしません。生成された署名付き URL を直接使用できます。
    url = bucket.sign_url('PUT', object_name, expire_time, slash_safe=True, headers=headers)
    return url

Java

import com.aliyun.oss.OSS;
import com.aliyun.oss.OSSClientBuilder;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.annotation.Bean;
import com.aliyun.oss.HttpMethod;
import com.aliyun.oss.model.GeneratePresignedUrlRequest;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.ResponseBody;

import java.net.URL;
import java.util.Date;
import javax.annotation.PreDestroy;

@Configuration
public class OssConfig {

    /**
     * <your-endpoint> を OSS エンドポイント(例:oss-cn-hangzhou.aliyuncs.com)に置き換えます。
     */
    private static final String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";

    /**
     * ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を用いて accessKeyId を設定します。
     */
    @Value("${ALIBABA_CLOUD_ACCESS_KEY_ID}")
    private String accessKeyId;

    /**
     * ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を用いて accessKeySecret を設定します。
     */
    @Value("${ALIBABA_CLOUD_ACCESS_KEY_SECRET}")
    private String accessKeySecret;

    private OSS ossClient;


    @Bean
    public OSS getSssClient() {
        ossClient = new OSSClientBuilder().build(endpoint, accessKeyId, accessKeySecret);
        return ossClient;
    }

    @PreDestroy
    public void onDestroy() {
        ossClient.shutdown();
    }
}

@Controller
public class PresignedURLController {

    /**
     * <your-bucket> をご利用のバケット名に置き換えます。
     * OSS へアップロードするファイルのプレフィックスを指定します。
     * <your-object> をオブジェクトの完全なパス(例:exampleobject.txt)に置き換えます。完全なパスにはバケット名を含めないでください。
     * 有効期限(ミリ秒単位)を指定します。
     */
    private static final String BUCKET_NAME = "<your-bucket>";
    private static final String OBJECT_NAME = "<your-object>";
    private static final long EXPIRE_TIME = 3600 * 1000L;

    @Autowired
    private OSS ossClient;

    @GetMapping("/get_presigned_url_for_oss_upload")
    @ResponseBody
    public String generatePresignedURL() {

        try {
            GeneratePresignedUrlRequest request = new GeneratePresignedUrlRequest(BUCKET_NAME, OBJECT_NAME, HttpMethod.PUT);
            Date expiration = new Date(System.currentTimeMillis() + EXPIRE_TIME);
            request.setExpiration(expiration);
            request.setContentType("image/png");
            URL signedUrl = ossClient.generatePresignedUrl(request);
            return signedUrl.toString();
        } catch (Exception e) {
            e.printStackTrace();
        }
        return null;
    }
}

Go

package main

import (
	"fmt"
	"net/http"
	"os"

	"github.com/aliyun/aliyun-oss-go-sdk/oss"
)

func getURL() string {
	// yourEndpoint をご利用のバケットのエンドポイントに設定します。たとえば、バケットが中国 (北京) リージョンにある場合、エンドポイントを https://oss-cn-beijing.aliyuncs.com に設定します。他のリージョンの場合は、対応するエンドポイントを設定してください。
	endpoint := "https://oss-cn-beijing.aliyuncs.com"
	// バケット名(例:examplebucket)を指定します。
	bucketName := "examplebucket"
	// ファイルの完全なパス(例:exampledir/exampleobject.txt)を指定します。完全なパスにはバケット名を含めないでください。
	objectName := "exampledir/exampleobject.txt"
	// 環境変数からアクセス認証情報を取得します。このサンプルコードを実行する前に、ALIBABA_CLOUD_ACCESS_KEY_ID および ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数が設定されていることを確認してください。
	accessKeyID := os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")
	accessKeySecret := os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")

	client, err := oss.New(endpoint, accessKeyID, accessKeySecret)
	if err != nil {
		fmt.Println("json err:", err)
	}
	bucket, err := client.Bucket(bucketName)
	if err != nil {
		fmt.Println("json err:", err)
	}
	options := []oss.Option{
		oss.ContentType("image/png"),
	}
	signedURL, err := bucket.SignURL(objectName, oss.HTTPPut, 60, options...)
	if err != nil {
		fmt.Println("json err:", err)
	}

	return signedURL
}

func handler(w http.ResponseWriter, r *http.Request) {
	if r.URL.Path == "/" {
		http.ServeFile(w, r, "templates/index.html")
		return
	} else if r.URL.Path == "/get_presigned_url_for_oss_upload" {
		url := getURL()
		fmt.Fprintf(w, "%s", url)
		return
	}
	http.NotFound(w, r)
}
func main() {
	http.HandleFunc("/", handler)
	http.ListenAndServe(":8080", nil)
}

PHP

<?php
require_once __DIR__ . '/vendor/autoload.php';
use OSS\OssClient;
use OSS\Core\OssException;
use OSS\Http\RequestCore;
use OSS\Http\ResponseCore;
// このサンプルコードを実行する前に、ALIBABA_CLOUD_ACCESS_KEY_ID および ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数が設定されていることを確認してください。
$accessKeyId = getenv("ALIBABA_CLOUD_ACCESS_KEY_ID");
$accessKeySecret = getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
// yourEndpoint をご利用のバケットが配置されているリージョンのエンドポイント(例:中国 (杭州) リージョンの場合は https://oss-cn-hangzhou.aliyuncs.com)に設定します。
$endpoint = "<YOUR-ENDPOINT>";
// バケット名を指定します。
$bucket= "<YOUR-BUCKET>";
// オブジェクトの完全なパス(バケット名を含まない)を指定します。
$object = "test.png";
// 署名付き URL の有効期間を 3600 秒に設定します。
$timeout = 3600;
try {
    $ossClient = new OssClient($accessKeyId, $accessKeySecret, $endpoint, false);
    // 署名付き URL を生成します。
    $signedUrl = $ossClient->signUrl($bucket, $object, $timeout, "PUT", array('Content-Type' => 'image/png'));
    // 返却されたデータを出力します。
    echo $signedUrl;
} catch (OssException $e) {
    printf($e->getMessage() . "\n");
    return;
}

Node.js

const express = require("express");
const { Buffer } = require("buffer");
const OSS = require("ali-oss");
const app = express();
const path = require("path");
const fs = require("fs");
const axios = require("axios");

const config = {
  // <YOURREGION> をご利用のバケットが配置されているリージョン(例:中国 (杭州) リージョンの場合は oss-cn-hangzhou)に設定します。
  region: '<YOURREGION>',
  // ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
  accessKeyId: process.env.ALIBABA_CLOUD_ACCESS_KEY_ID,
  // ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
  accessKeySecret: process.env.ALIBABA_CLOUD_ACCESS_KEY_SECRET,
  // <YOUR-BUCKET> をご利用のバケット名に置き換えます。
  bucket: "<YOUR-BUCKET>",
}
const object = "examplefile.png";

app.use(express.static(path.join(__dirname, "templates")));

app.get("/get_presigned_url_for_oss_upload", async (req, res) => {
    const client = new OSS(config);
    const url = client.signatureUrl(object, {
        method: "PUT",
        "Content-Type": "application/x-www-form-urlencoded",
    });
    res.send(url); 
    console.log(url);
  });

app.listen(8000, () => {
  console.log("http://127.0.0.1:8000");
});

Ruby

require 'sinatra'
require 'base64'
require 'open-uri'
require 'cgi'
require 'openssl'
require 'json'
require 'sinatra/reloader'
require 'sinatra/content_for'
require 'aliyun/oss'
include Aliyun::OSS

# 公開フォルダのパスを、現在のディレクトリ内の templates フォルダに設定します。
set :public_folder, File.dirname(__FILE__) + '/templates'

# ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
$access_key_id = ENV['ALIBABA_CLOUD_ACCESS_KEY_ID']
# ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
$access_key_secret = ENV['ALIBABA_CLOUD_ACCESS_KEY_SECRET']

# オブジェクトの完全なパス(例:exampledir/exampleobject.png)を指定します。完全なパスにはバケット名を含めないでください。
object_key = 'exampledir/exampleobject.png'

def get_presigned_url(client, object_key)
  # <YOUR-BUCKET> をご利用のバケット名に置き換えます。
  bucket = client.get_bucket('<YOUR-BUCKET>')
  # 署名付き URL を生成し、1 時間(3600 秒)有効であることを指定します。
  bucket.object_url(object_key, 3600)
end

client = Aliyun::OSS::Client.new(
  # <YOUR-ENDPOINT> をご利用のバケットが配置されているリージョンのエンドポイント(例:中国 (杭州) リージョンの場合は https://oss-cn-hangzhou.aliyuncs.com)に置き換えます。
  endpoint: '<YOUR-ENDPOINT>',
  # 環境変数からアクセス認証情報を取得します。このサンプルコードを実行する前に、OSS_ACCESS_KEY_ID および OSS_ACCESS_KEY_SECRET 環境変数が設定されていることを確認してください。
  access_key_id: $access_key_id,
  access_key_secret: $access_key_secret
)


if ARGV.length == 1 
  $server_port = ARGV[0]
elsif ARGV.length == 2
  $server_ip = ARGV[0]
  $server_port = ARGV[1]
end

$server_ip = "0.0.0.0"
$server_port = 8000

puts "App server is running on: http://#{$server_ip}:#{$server_port}"

set :bind, $server_ip
set :port, $server_port

get '/get_presigned_url_for_oss_upload' do
  url = get_presigned_url(client, object_key.to_s)
  puts "Token: #{url}"
  url
end

get '/*' do
  puts "********************* GET "
  send_file File.join(settings.public_folder, 'index.html')
end

C#

using Microsoft.AspNetCore.Builder;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.AspNetCore.Http;
using System.IO;
using System;
using Microsoft.Extensions.Logging;
using Aliyun.OSS;

namespace YourNamespace
{
    public class Program
    {
        private ILogger<Program> _logger;

        // ALIBABA_CLOUD_ACCESS_KEY_ID 環境変数を設定します。
        public string AccessKeyId { get; set; } = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_ID");
        // ALIBABA_CLOUD_ACCESS_KEY_SECRET 環境変数を設定します。
        public string AccessKeySecret { get; set; } = Environment.GetEnvironmentVariable("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
        // <YOUR-ENDPOINT> をご利用のバケットが配置されているリージョンのエンドポイント(例:中国 (杭州) リージョンの場合は https://oss-cn-hangzhou.aliyuncs.com)に置き換えます。
        private string EndPoint { get; set; } = "<YOUR-ENDPOINT>";
        // <YOUR-BUCKET> をご利用のバケット名に置き換えます。
        private string BucketName { get; set; } = "<YOUR-BUCKET>";
        private string ObjectName { get; set; } = "exampledir/exampleobject2.png";

        public static void Main(string[] args)
        {
            var builder = WebApplication.CreateBuilder(args);
            var app = builder.Build();

            // ロギングを追加します。
            builder.Logging.AddConsole();
            var logger = builder.Services.BuildServiceProvider().GetRequiredService<ILogger<Program>>();

            app.UseStaticFiles(); // 静的ファイルミドルウェアを有効にするためにこの行を追加します。

            app.MapGet("/", async (context) =>
            {
                var filePath = Path.Combine(Directory.GetCurrentDirectory(), "templates/index.html");
                var htmlContent = await File.ReadAllTextAsync(filePath);
                await context.Response.WriteAsync(htmlContent);

                // ログを出力します。
                logger.LogInformation("GET request to root path");
            });

            app.MapGet("/get_presigned_url_for_oss_upload", async (context) =>
            {
                var program = new Program(logger);
                var signedUrl = program.GetSignedUrl();

                logger.LogInformation($"SignedUrl: {signedUrl}"); // トークンの値を出力します。
                await context.Response.WriteAsync(signedUrl);
            });

            app.Run();
        }

        // ILogger の注入用コンストラクター。
        public Program(ILogger<Program> logger)
        {
            _logger = logger;
        }

        private string GetSignedUrl()
        {
            // OSSClient インスタンスを作成します。
            var ossClient = new OssClient(EndPoint, AccessKeyId, AccessKeySecret);

            // 署名付き URL を生成します。
            var generatePresignedUriRequest = new GeneratePresignedUriRequest(BucketName, ObjectName, SignHttpMethod.Put)
            {
                Expiration = DateTime.Now.AddHours(1),
                ContentType = "image/png"
            };
            var signedUrl = ossClient.GeneratePresignedUri(generatePresignedUriRequest);

            return signedUrl.ToString();
        }
    }
}

クライアント側のサンプルコード

以下に、Web クライアントが署名付き URL を用いて OSS へファイルをアップロードする方法を示すサンプルコードを記載します。

const form = document.querySelector("form");
form.addEventListener("submit", (event) => {
  event.preventDefault();
  const fileInput = document.querySelector("#file");
  const file = fileInput.files[0];
  fetch("/get_presigned_url_for_oss_upload", { method: "GET" })
    .then((response) => {
      if (!response.ok) {
        throw new Error("署名付き URL の取得に失敗しました。");
      }
      return response.text();
    })
    .then((url) => {
      fetch(url, {
        method: "PUT",
        headers: new Headers({
          "Content-Type": "image/png",
        }),
        body: file,
      }).then((response) => {
        if (!response.ok) {
          throw new Error("OSS へのファイルアップロードに失敗しました。");
        }
        console.log(response);
        alert("ファイルがアップロードされました。");
      });
    })
    .catch((error) => {
      console.error("エラーが発生しました:", error);
      alert(error.message);
    });
});

参考資料: クライアント直接アップロードの実践

以下に、クライアントの種類ごとの直接アップロードに関する参考情報を示します。