我是过来顶楼上的。

这是有原因的。考虑到客户端的使用者千奇百怪，我们不能给最终用户超过他应该有的权限。

为什么不具备delete操作？

如果允许客户端delete，一个最终用户就有可能会删除另外一个最终用户的资源，因为大家的资源都放在同一个空间里。七牛并无法区分两个最终用户。因此为安全考虑，delete等危险操作只允许在业务服务器端进行。

覆盖现有资源需要一个特殊的制定目标资源的token，也是基于同样的考虑。确实看起来麻烦，但是安全很多。如果是批量操作在客户端进行确实麻烦，你可以在业务服务器端封装一些对应的功能接口提供给客户端使用，但千万不要导致安全漏洞。互联网上传输的数据你可以认为是明文，你的请求内容很容易用Wireshark之类的工具截取和查看。