请教阿里云 OSS 直传安全性问题

[brader]

项目设计的时候，直传 OSS 没有完全按照阿里云给的方案，回调服务端这种模式。而是使用了如下模式：

1. 前端请求后端获取临时授权 TOKEN
2. 前端将文件上传到阿里云 OSS，得到文件 URL
3. 前端将文件 URL 传给后端。

目前后端只做了简单的效验，就是效验前端给的文件 URL 的域名是否指定的域名。

担心：这个方案是否有很大漏洞？比如：给到后端的文件 URL 给换成了非法地址。

请问有更好一点的效验 URL 合法性的做法吗？

[letitbesqzr]

我记着腾讯云 cos 是可以对 content-length 头，或者文件 md5 进行签名。