如何让Azure Blob私有图片以Web应用域名对外提供服务？

背景与当前实现 #

现有资源：

• Angular渲染的Web应用（myapp.com）
• C# REST API（myapi.com）
• 包含私有/公共容器的Azure Blob存储账户（myblob.com）

当前已通过API实现：创建myapi.com/media/{path}端点，生成Blob的SAS URL并将请求重定向到该URL，实现了永久链接、隐藏原始SAS地址的效果，但希望改用myapp.com/media/image.png的形式提供图片服务。

一、实现myapp.com域名托管媒体请求的方案 #

不推荐用Angular路由处理——Angular是前端单页路由，无法直接返回图片或重定向响应，会导致额外请求且体验不佳。更直接的方案有两种：

1. 反向代理（优先推荐） #

在myapp.com的Web服务器（如Nginx、IIS）上配置反向代理规则，将/media/*路径的请求转发到API的对应端点。用户请求myapp.com/media/image.png时，实际由服务器转发到myapi.com/media/image.png，前端无需任何修改。

示例Nginx配置：

location /media/ {
    proxy_pass https://myapi.com/media/;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
}

2. 合并API端点到myapp.com域名 #

如果Web应用和API可以部署在同一域名下，直接将/media端点集成到myapp.com的后端服务中，请求直接走主域名，无需跨域转发。

二、这种URL统一/域名混淆是否属于良好实践？ #

这是合理的最佳实践，核心优势包括：

• 品牌一致性：所有资源请求都来自主域名，提升用户信任感，避免跨域资源的割裂感。
• 前端代码简化：无需区分API域名与媒体域名，统一使用主域名路径即可。
• 灵活的架构扩展：后续更换存储服务或API架构时，前端无需修改资源路径，仅需调整后端转发逻辑。
• 安全与体验平衡：虽然重定向后浏览器仍会加载Blob的SAS URL，但主域名的永久链接不会受SAS时效性影响，同时避免直接暴露Blob存储的原始域名。

内容的提问来源于stack exchange，提问作者Jesse Kearns