通过Azure Web App流式传输Azure存储文件给终端用户是否为不良方案？

针对你的场景，这种方案不仅可行，反而能完美解决你当前的核心问题——隐藏存储链接、确保只有经过认证的用户才能获取文件。以下是具体分析和实现要点：

方案优势 #

• 完全掌控访问权限：所有文件请求必须先通过你的IdentityServer4认证，只有合法用户才能触发流式传输，彻底避免SAS链接被分享后无限制使用的风险。
• 适配现有架构：无需切换到Azure Entra ID，直接兼容你当前自托管的IdentityServer4认证体系，不用额外改造身份认证流程。
• 灵活扩展业务逻辑：可以在流式传输前后加入自定义逻辑，比如记录下载日志、校验用户的文件访问权限、对文件做实时格式转换等。

核心实现步骤（C# ASP.NET Core API） #

1. 编写流式下载接口 #

使用Azure.Storage.Blobs SDK直接读取存储文件流，不生成任何SAS链接：

[Authorize] // 用IdentityServer4的认证特性保护接口
[HttpGet("files/download/{blobName}")]
public async Task<IActionResult> DownloadFile(string blobName)
{
    // 建议通过依赖注入方式注入BlobServiceClient，避免硬编码连接字符串
    var blobServiceClient = new BlobServiceClient(Configuration["AzureStorage:ConnectionString"]);
    var containerClient = blobServiceClient.GetBlobContainerClient("目标容器名称");
    var blobClient = containerClient.GetBlobClient(blobName);

    // 检查文件是否存在
    if (!await blobClient.ExistsAsync())
    {
        return NotFound("文件不存在");
    }

    // 获取文件属性和流
    var properties = await blobClient.GetPropertiesAsync();
    var fileStream = await blobClient.OpenReadAsync();

    // 返回文件流给前端，支持断点续传
    return File(
        fileStream, 
        properties.ContentType, 
        blobName,
        enableRangeProcessing: true
    );
}

2. 前端React处理下载 #

直接调用API获取文件流，无需暴露任何存储链接：

const handleDownload = async (fileName) => {
    try {
        const response = await fetch(`/api/files/download/${fileName}`, {
            headers: {
                'Authorization': `Bearer ${你的IdentityServer4令牌}`
            }
        });
        
        if (!response.ok) throw new Error('下载失败');
        
        const blob = await response.blob();
        const url = window.URL.createObjectURL(blob);
        const a = document.createElement('a');
        
        a.href = url;
        a.download = fileName;
        document.body.appendChild(a);
        a.click();
        
        // 清理资源
        window.URL.revokeObjectURL(url);
        document.body.removeChild(a);
    } catch (err) {
        console.error(err);
        alert('文件下载失败');
    }
};

需要注意的性能与成本点 #

• Web App带宽配额：Azure Web App有带宽限制，若存在大文件或高并发下载场景，建议选择更高层级的App Service计划，避免触发限流。
• 同区域部署：确保Web App和存储账户部署在同一Azure区域，减少跨区域传输的延迟和额外成本。
• 缓存优化：可在API中添加缓存响应头，或配合Azure CDN缓存静态文件内容，减轻Web App的负载压力（CDN需配置仅允许API转发的请求访问）。

与原SAS方案对比 #

原方案中，即使SAS令牌设置了过期时间，一旦链接被分享，其他用户仍可在有效期内无限制下载；而流式传输方案完全由你的API把控访问权限，用户身份失效（如令牌过期、权限被撤销）后立即无法下载，安全性大幅提升。

内容的提问来源于stack exchange，提问作者Ryan