使用Python generate_blob_sas生成无效SAS：签名不匹配问题求助

以下是针对签名不匹配错误的具体排查方向：

• 时间同步偏差
  Azure存储服务对请求时间的校验严格，若本地系统时间与UTC时间偏差超过15分钟，会直接导致签名验证失败。检查你的系统时间是否准确，可尝试将时间生成代码替换为datetime.utcnow().replace(tzinfo=timezone.utc)，确保时间格式完全符合UTC标准。

• 资源名称匹配问题
  容器名称、Blob名称（即代码中的filename）与存储账户中的实际名称必须完全一致，Azure存储对名称大小写敏感，且不允许存在多余的空格或特殊字符编码错误。确认传入generate_blob_sas的名称参数与云端资源名称完全吻合。

• 账户密钥有效性
  检查account_key是否为存储账户的有效访问密钥（而非连接字符串片段或其他令牌），确保复制过程中没有遗漏字符、多添空格，且使用的是存储账户当前启用的密钥（存储账户有两个密钥，若其中一个已失效会导致签名错误）。

• SAS参数一致性校验
  生成SAS时的参数必须与最终URL中的参数完全匹配：

  • 确认URL中的sr=b（Blob级别资源）与代码中指定blob_name的逻辑一致，若误设为sr=c（容器级别）会导致签名不匹配；
  • 检查sv=2023-11-03服务版本是否与你使用的azure-storage-blob SDK版本兼容，可尝试不手动指定服务版本，让SDK自动选择兼容版本；
  • 权限参数BlobSasPermissions(read=True)对应URL中的sp=r，确保没有误加其他权限。

• 待签名字符串对比
  错误提示中的String to sign used was r...可作为排查依据，将实际生成的待签名字符串与Azure预期格式对比：
  标准待签名字符串格式示例：

  r
  2024-04-25T15:04:23Z
  2024-05-02T15:04:23Z
  /blob/accountname/containername/blobname
  2023-11-03
  

  逐一核对权限、时间、资源路径、服务版本等部分，确认没有格式错误（如时间是否带Z后缀、路径前缀是否为/blob/）。

内容的提问来源于stack exchange，提问作者user3822332