Azure Blob Storage请求未授权：ASP.NET Core API 403错误排查求助

1. 修复依赖注入重复注册问题 #

你的Program.cs里重复注册了BlobServiceClient：AddAzureClients已经完成了客户端的注册和凭证配置，但后面又手动AddSingleton创建了一个新实例，这会导致DI容器中存在两个实例，实际注入的可能是未正确配置的那个。

修改后的Program.cs代码：

var uriStr = builder.Configuration["AzureAD:BlobAccountUri"] ?? throw new InvalidOperationException();
var uri = new Uri(uriStr);

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddBlobServiceClient(uri);

    if (builder.Environment.IsProduction())
    {
        clientBuilder.UseCredential(new ManagedIdentityCredential());
    }
    else
    {
        clientBuilder.UseCredential(new DefaultAzureCredential());
    }
});

删除后面手动AddSingleton注册BlobServiceClient的代码，直接使用AddAzureClients提供的实例。

2. 确认容器与Blob名称完全匹配 #

• 上传时使用的是document.Container，下载硬编码为"test"，要确保上传时的容器名确实是test，可以在上传后打印日志确认。
• Blob名称大小写敏感，上传的document.Name和下载的"testv1"必须完全一致（包括后缀、大小写），比如上传的是testv1.pdf，下载用testv1会找不到资源，部分场景下会返回403而非404。

3. 验证本地开发身份权限 #

你用Azure CLI登录，需确认：

• 当前登录账号（运行az account show查看）对目标存储账户拥有存储Blob数据读取者或更高权限（如存储Blob数据参与者），且角色作用范围覆盖该存储账户或对应容器。
• 检查DefaultAzureCredential是否被其他身份源干扰：比如环境变量中存在旧的存储账户密钥，会优先使用环境变量身份而非Azure CLI身份，导致权限不符。

4. 检查容器访问层级与存储账户匿名设置 #

即使存储账户开启了匿名访问，容器默认创建时是私有访问层级。若要通过匿名访问下载，需在创建容器时显式设置：

await _blobServiceClient.CreateBlobContainerAsync(document.Container, PublicAccessType.Blob);

同时去Azure Portal确认容器的“访问策略”是否为允许匿名访问。

5. 排查防火墙与网络限制 #

• 确认存储账户防火墙设置中，你的当前公网IP已加入允许列表（Mac的公网IP可能动态变化，可临时关闭防火墙测试）。
• 开启“允许受信任的Microsoft服务访问此存储账户”选项，避免Azure CLI身份验证被防火墙拦截。

6. 确认Blob是否真实存在 #

通过Azure Portal或Azure CLI命令验证容器中是否存在目标Blob：

az storage blob list --account-name <你的存储账户名> --container-name test --auth-mode login

若列表中没有testv1，说明上传逻辑可能存在问题（比如document.FilePath错误，上传了空文件或未成功写入）。

7. 捕获详细错误信息 #

修改下载代码，捕获RequestFailedException获取具体错误细节，这是排查403的关键：

try
{
    var blobContainer = _blobServiceClient.GetBlobContainerClient("test");
    var test = blobContainer.GetBlobClient("testv1");
    var test2 = await test.DownloadAsync();
}
catch (RequestFailedException ex)
{
    // 记录详细错误信息
    Console.WriteLine($"错误码：{ex.ErrorCode} | 状态码：{ex.Status} | 消息：{ex.Message}");
    throw;
}

常见错误码对应的问题：

• AuthorizationPermissionMismatch：权限不足
• ResourceNotFound：Blob或容器不存在
• AuthenticationFailed：身份验证失败

内容的提问来源于stack exchange，提问作者VCore