unicloud.uploadfile 的权限不由调用位置（前端或云函数）决定，而取决于 cloudpath 所属路径的权限策略及云服务商支持：阿里云/腾讯云仅支持单文件级权限（需传 filetype: 'private'），支付宝云支持私有目录；所有平台默认 public，未显式设 private 则可被直接访问。
uniCloud.uploadFile 的权限由云函数还是前端控制？
云存储文件的权限不取决于 uniCloud.uploadFile 调用位置（前端或云函数），而取决于上传时指定的 cloudPath 所属路径的权限策略，以及云服务商（阿里云/腾讯云/支付宝云）对目录或文件级别的权限支持差异。
前端调用 uniCloud.uploadFile 时，无法绕过服务端权限校验；即使上传成功，后续访问仍受控于云存储后台配置。真正起作用的是：上传后该文件所在路径是否被设为私有、是否依赖临时 URL 访问、以及对应云服务商是否支持该粒度的权限控制。
- 阿里云、腾讯云：仅支持**单文件级**权限设置（上传时通过参数指定 public/private），不支持目录级权限继承
- 支付宝云：支持创建 **
私有权限文件夹**，其下所有文件默认不可公开读取，必须走uniCloud.getTempFileURL - 所有平台：若未显式设为 private，上传文件默认为 public，可被任意 URL 直接访问（含 CDN 地址）
上传时如何指定文件为私有？
在调用 uniCloud.uploadFile 时，必须传入 fileType: 'private' 参数（阿里云/腾讯云）或使用支付宝云的私有目录路径（如 cloudPath: 'private/avatar.jpg'）。否则默认是 public，哪怕你没开 CDN，也能通过 https://xxx.cos.ap-shanghai.myqcloud.com/xxx.jpg 直接访问。
注意：这个参数只对当前上传文件生效，不影响其他已有文件；且不同云厂商对 fileType 的支持略有差异：
- 腾讯云：支持
fileType: 'private'，上传后需配合uniCloud.getTempFileURL获取临时链接 - 阿里云：同样支持
fileType: 'private'，但 HBuilderX 3.8.5+ 才完整兼容；旧版可能忽略该参数 - 支付宝云：不依赖
fileType，而是靠cloudPath是否落在私有目录下（如以private/开头）自动判定
为什么 getTempFileURL 返回 404 或 permission denied？
常见原因是：文件本身不是 private 权限，或云函数没有读取该文件的权限，或临时 URL 已过期（默认 1 小时）。更隐蔽的问题是——你在前端调用了 uniCloud.getTempFileURL，但它**只在云函数中可用**。
uniCloud.getTempFileURL 是服务端 API，只能在云函数里调用。前端直接调用会返回 undefined 或报错 getTempFileURL is not a function。正确链路是：
- 前端上传 → 云函数接收并存为 private → 云函数调用
uniCloud.getTempFileURL→ 返回临时 URL 给前端 - 前端拿到 URL 后，用
<image :src="tempUrl"></image>渲染，而非自己拼接原始地址 - 临时 URL 带签名，过期即失效，不能缓存复用
如何防止用户绕过权限直接访问私有文件？
最易被忽略的一点：前端拿到临时 URL 后，如果把 URL 存进数据库或本地缓存，下次再用就可能失效；更严重的是，有人截获 URL 后在有效期内反复请求，相当于“盗用”了临时凭证。
这不是 bug，而是设计使然。真正防绕过的做法是：
- 云函数每次返回新 URL，不复用旧链接
- 敏感操作（如查看身份证照片）应在云函数中做二次校验：检查当前用户 session 是否有权限读该文件，再决定是否生成 URL
- 避免在日志、埋点、接口响应体中明文透出临时 URL
- 支付宝云私有目录 + 阿里云/腾讯云 private 文件 + 云函数封装 URL 生成逻辑，三者缺一不可
权限控制的复杂点不在代码行数，而在路径、角色、时效、服务端校验这四者的耦合。漏掉任一环，private 就形同虚设。
