升级Visual Studio 2022后无法生成兼容IoT设备的SAS Token，求PowerShell/C#解决方案

你遇到的核心问题是混淆了Azure存储账户SAS Token和IoT Hub设备级SAS Token——这两种Token的生成逻辑、用途完全不同，所以用存储账户的SAS替换后设备肯定无法正常连接。下面我分别给出PowerShell和C#的正确生成方法，完全匹配你之前VS Cloud Connector生成的Token格式。

一、PowerShell生成IoT Hub设备SAS Token #

首先需要安装Azure IoT Hub的PowerShell模块，然后直接生成设备专属的SAS Token：

1. 安装模块（首次使用）：

Install-Module -Name Az.IotHub -Force -AllowClobber

2. 生成设备SAS Token：

# 替换为你的资源组、IoT Hub名称、设备ID
$resourceGroup = "你的资源组名"
$iotHubName = "你的IoT Hub名称"
$deviceId = "目标设备ID"
# 设置过期时间，比如10年后（和你之前的示例一致）
$expiryTime = (Get-Date).AddYears(10).ToUniversalTime()

# 生成Token
$sasToken = Get-AzIotHubDeviceSasToken -ResourceGroupName $resourceGroup -IotHubName $iotHubName -DeviceId $deviceId -ExpiryTime $expiryTime

# 输出的Token格式会和VS生成的一致：SharedAccessSignature sr=xxx&sig=xxx&se=xxx
Write-Output $sasToken

这个命令生成的Token结构和你之前VS Cloud Connector的完全匹配，包含sr（设备的IoT Hub URI）、sig（HMAC签名）、se（过期时间戳）。

二、C#生成IoT Hub设备SAS Token #

如果你需要用代码生成，推荐使用官方的Microsoft.Azure.Devices.Client库，或者手动计算签名：

方法1：使用官方SDK（推荐） #

1. 安装NuGet包：

Install-Package Microsoft.Azure.Devices.Client

2. 代码示例：

using Microsoft.Azure.Devices.Client;
using System;

class Program
{
    static void Main()
    {
        string iotHubHostName = "你的IoT Hub域名（比如xxx.azure-devices.net）";
        string deviceId = "目标设备ID";
        string devicePrimaryKey = "设备的主密钥（从IoT Hub设备详情中获取）";
        TimeSpan tokenExpiry = TimeSpan.FromYears(10);

        // 创建设备认证对象
        var auth = new DeviceAuthenticationWithRegistrySymmetricKey(deviceId, devicePrimaryKey);
        // 生成SAS Token
        string sasToken = auth.GetSASToken(tokenExpiry);

        Console.WriteLine(sasToken);
        // 输出格式：SharedAccessSignature sr=xxx.azure-devices.net%2Fdevices%2Fxxx&sig=xxx&se=xxx
    }
}

方法2：手动计算签名（无需SDK） #

如果不想依赖SDK，可以手动实现HMACSHA256签名逻辑：

using System;
using System.Security.Cryptography;
using System.Text;
using System.Web;

class SasTokenGenerator
{
    public static string GenerateSasToken(string iotHubHostName, string deviceId, string deviceKey, TimeSpan expiry)
    {
        // 构造要签名的字符串：{URI}\n{过期时间戳}
        string resourceUri = HttpUtility.UrlEncode($"{iotHubHostName}/devices/{deviceId}");
        long expiryEpoch = (long)(DateTime.UtcNow + expiry).Subtract(new DateTime(1970, 1, 1)).TotalSeconds;
        string stringToSign = $"{resourceUri}\n{expiryEpoch}";

        // 使用设备密钥进行HMAC-SHA256签名
        HMACSHA256 hmac = new HMACSHA256(Convert.FromBase64String(deviceKey));
        string signature = Convert.ToBase64String(hmac.ComputeHash(Encoding.UTF8.GetBytes(stringToSign)));

        // 拼接成最终的SAS Token
        return $"SharedAccessSignature sr={resourceUri}&sig={HttpUtility.UrlEncode(signature)}&se={expiryEpoch}";
    }
}

为什么之前的存储SAS Token不行？ #

你之前用New-AzStorageAccountSASToken生成的是存储账户级的SAS，用于访问Azure Blob/Table/Queue等存储服务，它的签名逻辑是基于存储账户密钥，包含存储服务类型、权限、过期时间等参数（比如sv、ss、srt），和IoT Hub设备SAS的签名逻辑完全不兼容。IoT Hub设备SAS是基于设备自身的密钥，签名的是设备的IoT Hub URI和过期时间，所以设备会拒绝存储SAS Token的连接请求。

内容的提问来源于stack exchange，提问作者Tim