是否有漏洞用一个简单的检验方法。如果我通过抓包知道了你上述的 1 、2 、3 逻辑，是否可以写个脚本来蹭你 oss 存点儿自己的东西？从目前的描述看，我感觉是可以的。

加签并不能杜绝上面的问题，只是加大了破解的难度。
所以不知道请求是否有用户态？有的话加上用户 token，请求加上签名，后端再针对用户加上存储配额的管理，一定程度上能防范上述的问题。

先从概念看：tcp 是流，属于传输层； http 是应用层，所以答案肯定是 B 。
再用反证法：如果用 A 的模式，你看看你猜测的两个包传输了多少重复内容，计算机先驱们不会有这么低级的错误。
再通过实践：用 wireshark 抓个包就能知道肯定不会是 A 了。