Azure静态网页调用Table REST API遇403认证失败（Postman可用）

针对你遇到的静态网页fetch请求报403但Postman正常的问题，按以下步骤排查：

• 移除请求中多余的CORS响应头
  你在fetch的headers里添加了Access-Control-Allow-Origin和Access-Control-Allow-Methods，这两个是服务器返回给客户端的响应头，不是客户端请求时应该发送的。浏览器会拦截这类不合法的请求头，或服务器会因收到非标准请求头拒绝认证，直接删掉这两个头即可。

• 严格验证Date头的准确性
  Azure存储要求请求的Date头与服务器时间误差不超过15分钟，否则会触发403：

  • 控制台打印date.toUTCString()的结果，和Postman请求中使用的Date头完全对比，确保格式、时间完全一致
  • 必须使用UTC时间，不能用本地时间

• 重新校验SharedKey签名的生成逻辑
  SharedKey签名对细节要求极高，稍有偏差就会认证失败：

  • 确保所有请求头的名称大小写完全符合要求（比如x-ms-version不能写成X-MS-Version，Azure存储对Header名称大小写敏感）
  • 签名构造的字符串必须严格遵循Azure Table API规则：按顺序拼接HTTP方法、Content-MD5、Content-Type、Date、所有x-ms-开头的头（按小写名称排序），最后拼接资源路径，再用存储账户密钥进行HMAC-SHA256加密后Base64编码
  • 把代码生成的sigBase64和Postman自动生成的签名对比，看是否完全一致

• 检查浏览器的OPTIONS预检请求
  跨域请求时浏览器会先发OPTIONS预检请求，确认服务器允许跨域：

  • 在浏览器开发者工具的Network面板查看OPTIONS请求的响应状态，如果OPTIONS返回403，后续GET请求必然失败
  • 确认Azure Table的CORS设置：允许的方法包含OPTIONS和GET；允许的头包含你实际发送的所有请求头（如Authorization、Date、x-ms-version、DataServiceVersion）；Max Age设置合理（比如3600）

• 用隐私窗口或禁用缓存测试
  浏览器缓存的旧请求头或CORS规则可能干扰测试，打开隐私窗口访问网页，或在Network面板勾选“禁用缓存”后重新请求

• 检查存储账户防火墙设置
  如果存储账户防火墙设置为“允许选定网络”，而静态网页的IP不在允许列表中，也会触发403。确认防火墙设置为“允许所有网络”，或把静态网页的IP加入允许列表

内容的提问来源于stack exchange，提问作者darrenuong