客户端上传时 Key 的顺序问题

Question

http://developer.qiniu.com/docs/v6/api/reference/security/put-policy.html
按照这里的说法，只要客户端强行写一个 key 到请求里，就会完全无视 PutPolicy 的设置？
假如用户伪造 key 的话，那服务器只能通过 callback 再检查？

Answer 1

是指putPolicy的saveKey字段，与客户端指定的key的优先级关系？

比较敏感的场景，建议使用bucket:key形式的scope，配合insertOnly来形成较强的限制。
使用saveKey的场景，除了在回调中进一步判断，暂时还没有更好的手段。

但实际上，更应该关注的还是对uptoken的控制、保护和callback阶段的再次检验，否则也只是用户非法上传的文件文件名是否符合你的预期的区别而已。

Answer 2

根据题主的反馈，我们重新编程验证了资源名的取值优先顺序，并撰写为文档，请参考。

七牛云杂谈－如何指定资源名？