用途：对 AWS 环境中的 S3 存储桶进行权限审计，发现公开暴露的数据、过宽的 ACL、配置错误的桶策略，以及缺失的加密、版本控制和访问日志。适用于安全评估、新账号安全基线建立、响应 Trusted Advisor 或 Security Hub 告警、满足 SOC 2/PCI DSS/HIPAA 合规审查，以及凭据泄露后的紧急排查。不适用于非 AWS 对象存储、实时监控或访问模式分析。
主要能力：枚举账号级与桶级 Block Public Access 设置；检查 ACL 中 AllUsers 与 AuthenticatedUsers 授权；分析桶策略中的通配符 Principal 与缺失条件；验证服务端加密、版本控制和访问日志；运行 Prowler 的 S3 专项 CIS 检查；使用 IAM Access Analyzer 发现公开与跨账号共享；生成审计报告并执行修复。
使用方式：需 AWS CLI v2 并具备 s3:GetBucketPolicy、s3:GetBucketAcl、s3:GetBucketPublicAccessBlock、s3:GetEncryptionConfiguration、s3:ListAllMyBuckets 权限；安装 Prowler（pip install prowler）；可选 S3audit、ScoutSuite 与 Python 3.8+ boto3。流程为：先查账号级 Block Public Access，再逐桶检查 ACL、策略、加密与版本控制，运行 Prowler 检查，最后用 IAM Access Analyzer 复核并修复。
限制：启用 Block Public Access 可能影响静态网站等依赖公开访问的应用，修复前需确认桶的预期用途并检查 CloudFront 等依赖；资料未提供具体收费、价格或平台支持信息。