Azure Blob Storage托管身份生成SAS URL时签名含+引发格式错误

问题核心原因 #

你遇到两个关键问题：

• 签名字符未正确URL编码：SAS签名中的+在URL中会被解析为空格，导致Azure验证签名时判定格式异常。
• 用户委托密钥有效期过短：代码中密钥仅设置了4分钟有效期（当前时间前后2分钟），但SAS过期时间是expiryTimeInMins分钟后，当expiryTimeInMins>2时，SAS有效期超出密钥范围，同样会触发验证失败。

修正后的代码实现 #

public string GenerateSaS(string account,
                          string containerName,
                          string fileName,
                          int expiryTimeInMins)
{
    try
    {
        var tokenCredential = new DefaultAzureCredential(new DefaultAzureCredentialOptions { ManagedIdentityClientId = Environment.GetEnvironmentVariable("<My CLient Id>") });
        BlobServiceClient blobServiceClient = new BlobServiceClient(new Uri($"https://{account}.blob.core.windows.net/"), tokenCredential);
        BlobContainerClient containerClient = blobServiceClient.GetBlobContainerClient(containerName);

        if (!containerClient.Exists())
        {
            return null;
        }

        var sasStart = DateTimeOffset.UtcNow;
        var sasExpiry = sasStart.AddMinutes(expiryTimeInMins);
        // 让密钥有效期完全覆盖SAS周期，前后各留5分钟缓冲
        var keyStart = sasStart.AddMinutes(-5);
        var keyExpiry = sasExpiry.AddMinutes(5);

        var sharedPolicy = new BlobSasBuilder
        {
            StartsOn = sasStart,
            ExpiresOn = sasExpiry,
            // 对文件名编码，避免特殊字符破坏HTTP头或签名逻辑
            ContentDisposition = $"attachment;filename={Uri.EscapeDataString(fileName)}",
            BlobContainerName = containerName,
            BlobName = fileName,
            Resource = "b",
            Protocol = SasProtocol.Https
        };
        sharedPolicy.SetPermissions(BlobSasPermissions.Read | BlobSasPermissions.Write | BlobSasPermissions.Create);

        // 获取有效期充足的用户委托密钥
        var userDelegationKey = blobServiceClient.GetUserDelegationKey(keyStart, keyExpiry);
        var sasParams = sharedPolicy.ToSasQueryParameters(userDelegationKey, blobServiceClient.AccountName);

        // 手动编码所有特殊参数，确保+被替换为%2B
        var encodedSignature = Uri.EscapeDataString(sasParams.Signature);
        var sasString = $"sv={sasParams.Version}&st={Uri.EscapeDataString(sasParams.StartsOn.ToString("yyyy-MM-ddTHH:mm:ssZ"))}&se={Uri.EscapeDataString(sasParams.ExpiresOn.ToString("yyyy-MM-ddTHH:mm:ssZ"))}&sr={sasParams.Resource}&sp={sasParams.Permissions}&rscd={Uri.EscapeDataString(sasParams.ContentDisposition)}&sig={encodedSignature}";

        // 拼接最终合法的SAS URL
        var blobClient = containerClient.GetBlobClient(fileName);
        var sasUrl = $"{blobClient.Uri}?{sasString}";

        return sasUrl;
    }
    catch (Exception ex)
    {
        throw ex;
    }
}

关键修正说明 #

• 延长密钥有效期：确保用户委托密钥的起止时间完全覆盖SAS的生命周期，避免因密钥提前过期导致SAS失效。
• 强制URL编码：使用Uri.EscapeDataString()对签名、时间参数、文件名等所有含特殊字符的内容编码，彻底解决+等字符的解析问题。
• ContentDisposition优化：对文件名编码，避免文件名中的特殊字符破坏HTTP响应头格式，同时消除间接影响签名生成的潜在风险。

内容的提问来源于stack exchange，提问作者Amit Kumar Verma