npm install @alicloud/sts-sdk

const StsClient = require('@alicloud/sts-sdk');

/**
 * 生成STStoken
 * @param accessKeyId AccessKey ID
 * @param accessKeySecret 從STS服務獲取的臨時訪問密鑰AccessKey Secret
 * @param roleArn 指定角色的ARN
 * @param roleSessionName 時臨時Token的會話名稱，自己指定用於標識你的用户，或者用於區分Token頒發給誰
 * @param durationSeconds token 有效事件，單位：秒
 * @param policy 指定的授權策略 默認為null
 * @return
 *   RequestId, 請求id
 *   AssumedRoleUser: {
 *     Arn, ${roleArn}/${roleSessionName}
 *     AssumedRoleId
 *   },
 *   Credentials: {
 *     SecurityToken, sts token
 *     AccessKeyId, accessKeyId
 *     AccessKeySecret, accessKeySecret
 *     Expiration 過期時間
 *   }
 */
export default function generateSTSToken(accessKeyId, accessKeySecret, roleArn, roleSessionName = 'external-username', durationSeconds = 3600, policy = null) {
  const sts = new StsClient({
    endpoint: 'sts.aliyuncs.com', // check this from sts console
    accessKeyId, // check this from aliyun console
    accessKeySecret // check this from aliyun console
  });
  return res = await sts.assumeRole(roleArn, roleSessionName, policy, durationSeconds);

{
  accessKeyId,
  accessKeySecret,
  stsToken,
  bucket,
  region,
  expiration
}

npm install ali-oss --save

// 這個是服務端提供給前端的一個請求接口，返回上面我們提到的幾個參數
import { getOssSTSToken } from "./request"; 
// @ts-ignore 忽略ts報錯，ali-oss趕緊提供@types包吧，文檔難看懂，庫也沒個文檔，你們文檔要是維護的好，我還用寫這個？我都不想吐槽……（bushi）
import OSS from 'ali-oss'

type OssStsType = {
  accessKeyId: string
  accessKeySecret: string
  stsToken: string
  expiration: number // 這個是前端計算出的還有多少秒token過期
  region: string
  bucket: string
}

/**
 * 獲取OSSClient
 * @param accessKeyId AccessKey ID
 * @param accessKeySecret 從STS服務獲取的臨時訪問密鑰AccessKey Secret
 * @param stsToken 從STS服務獲取的安全令牌（SecurityToken）
 * @param region Bucket所在地域
 * @param bucket Bucket名稱
 */
export default async function getOssClient () {
  const { code, data: params } = await getOssSTSToken();
  if (code !== 200) return false; // 如果請求出錯，在上游處理
  const client = new OSS({
    ...params,
    refreshSTSTokenInterval: params.expiration,
    // 刷新臨時訪問憑證的時間間隔，單位為毫秒。
    //（這個refreshSTSToken是文檔裏的，為了保險各位可以在每次上傳前先檢查一次過期沒有，不要依賴提供的這個方法）
    refreshSTSToken: async () => {
      const { code, data } = await getOssSTSToken(); // 過期後刷新token
      if (code === 200) {
        return data
      }
    },
  })
  return client
}

async function uploadFileAction(file, client) {
  let newClient = client;
  // 偽代碼：
  // if (!newClient || token is expired) { // 如果是沒有實例對象或者token過期了就要重新生成
  //  newClient = await getOssClient(); // 調用上面我們封裝好的一個方法
  // }
  const filePath = 'xxx/xxx/' // 最中在bucket中的存放的路徑根據業務需要自行設置，文件名也是可以自行設置
  const { res, name, url } = await newClient.put(`${filePath}${file.name}`, file);
  if (res.status === 200) {
    // 這裏拿到上傳成功的文件的url
    return url
  }  
}