如何在Azure Logic App HTTP触发器中通过Header传递SAS令牌？

问题背景 #

当前使用HTTP触发的Azure Logic App，通过URL查询字符串中的SAS令牌完成请求认证，出于安全考虑希望改为通过HTTP Header传递SAS令牌，但尝试后收到DirectApiAuthorizationRequired错误。

有效URL示例（SAS在查询字符串）：

https://prod-24.southcentralus.logic.azure.com:443/workflows/15f36e380c354bd5bd9de2de40b19d54/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2FWhen_a_HTTP_request_is_received%2Frun&sv=1.0&sig=ajC3bRqX8qYfFCEhjP5qT1fyMVlCBQHpreshrikual

尝试的Header传递方式（curl示例）：

curl -X POST "https://prod-26.southcentralus.logic.azure.com:443/workflows/15f36e380c354bd5bd9ed834de40b19d54/triggers/When_a_HTTP_request_is_received/paths/invoke?api-version=2016-10-01&sp=%2Ftriggers%2FWhen_a_HTTP_request_is_received%2Frun&sv=1.0" \
-H "x-sas-token: ajC3bRqX8qYfFCEhjP5qT1fyMVlCBQHpkMu1eelefqs" \
-H "Content-Type: application/json" \
-d '{}'

收到的错误：

{
    "error": {
        "code": "DirectApiAuthorizationRequired",
        "message": "The request must be authenticated only by Shared Access scheme."
    }
}

问题解答 #

1. 是否可以在Logic App中通过HTTP Header传递SAS令牌？ #

不行。Azure Logic App默认的HTTP触发器SAS认证机制仅识别URL查询字符串中的sig参数，不支持将SAS令牌放在HTTP Header中进行验证，这是其内置认证逻辑决定的，因此直接通过自定义Header传递会触发认证错误。

2. 不暴露SAS令牌于URL的替代授权方法 #

• Azure AD OAuth 2.0 认证
  将Logic App的HTTP触发器配置为使用Azure AD身份验证：

  • 在触发器设置中开启"Azure Active Directory OAuth"模式，配置允许的租户、应用ID等规则。
  • 请求时在Authorization Header中携带Bearer <Azure AD令牌>，令牌通过标准OAuth流程从Azure AD获取。
  • 优势：基于行业标准协议，安全性高，令牌不会出现在URL中。

• 使用Azure API管理（APIM）作为前置网关
  把Logic App接入APIM，由APIM处理外部请求的认证：

  • 在APIM中创建指向Logic App触发URL（含SAS令牌）的API。
  • 在APIM中配置认证方式，比如API密钥、Azure AD OAuth或客户端证书。
  • 外部请求直接调用APIM的API地址，APIM验证通过后转发请求到Logic App，此时SAS令牌仅在APIM与Logic App之间传递，不会暴露给外部调用者。

• 自定义认证逻辑
  在Logic App内部实现令牌验证逻辑：

  • 将HTTP触发器设置为匿名模式（或关闭默认SAS认证）。
  • 在触发器后添加步骤：读取自定义Header（如x-sas-token），与存储在Azure Key Vault中的有效令牌比对。
  • 若令牌不匹配，立即返回401错误并终止流程；匹配则继续执行后续逻辑。
  • 注意：必须将令牌存储在Key Vault中，避免明文暴露在Logic App配置里。

内容的提问来源于stack exchange，提问作者KKU