如何在Java中生成匹配Azure Portal结构的SAS令牌以读写Blob标签？

你的问题核心是使用了错误的SAS签名值类型，导致生成的Blob级用户委托SAS不符合标签操作的权限验证要求。以下是具体修正方案：

问题根源 #

你当前使用BlobServiceSasSignatureValues生成SAS，但这个类是用于创建服务级SAS的，而你需要的是针对单个Blob的Blob级SAS，应该使用BlobSasSignatureValues类。错误的类型会导致SAS令牌的权限范围与操作不匹配，触发AuthorizationPermissionMismatch错误。

修正后的代码 #

OffsetDateTime startTime = OffsetDateTime.now().minusMinutes(1);
OffsetDateTime expiryTime = startTime.plusHours(10);

// 获取用户委托密钥（这部分无需修改）
UserDelegationKey userDelegationKey = blobServiceClient.getUserDelegationKey(startTime, expiryTime);

// 配置Blob级SAS权限，确保包含标签读写权限
BlobSasPermission sasPermission = new BlobSasPermission()
    .setReadPermission(true)
    .setWritePermission(true)
    .setTagsPermission(true) // 关键：保留标签操作权限
    // 按需保留其他你需要的权限
    .setAddPermission(true)
    .setCreatePermission(true)
    .setDeletePermission(true);

// 使用Blob级SAS签名值对象，而非服务级
BlobSasSignatureValues sasSignatureValues = new BlobSasSignatureValues(expiryTime, sasPermission)
    .setStartTime(startTime);

// 生成Blob级用户委托SAS
BlobClient blobClient = blobContainerClient.getBlobClient("someBlob");
String sasToken = blobClient.generateUserDelegationSas(sasSignatureValues, userDelegationKey);

关键验证点 #

1. 权限字符串（sp参数）：生成的SAS令牌中sp字段需包含t（对应标签权限），例如sp=racwdt...
2. 资源类型（sr参数）：Blob级SAS的sr值应为b，表示针对单个Blob的权限，这与Azure Portal生成的srt=o（对象级）是等价的，只是用户委托SAS与服务SAS的参数命名不同。
3. 用户委托密钥权限：确保生成UserDelegationKey的身份拥有Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action权限，以及目标Blob的标签读写权限（可通过Azure RBAC分配Storage Blob Data Contributor或更细粒度的Storage Blob Data Owner角色）。

额外说明 #

如果需要生成容器级SAS（允许操作容器内多个Blob的标签），需使用ContainerClient的generateUserDelegationSas方法，并搭配ContainerSasSignatureValues类，同时确保权限中包含标签操作权限。

内容的提问来源于stack exchange，提问作者Michael