Azure函数应用存储账户认证失败，重启后恢复问题咨询

核心问题定位 #

错误CannotVerifyCopySource本质是目标存储账户验证源Blob的SAS签名失败，结合「重启后恢复、定时触发24小时内复发」的现象，核心原因是用户委托密钥（UDK）或身份令牌被长期缓存复用，导致后续生成的SAS签名无效。

具体诱因拆解 #

• In-Process模型的静态资源生命周期问题：In-Process模型中，若BlobServiceClient、_userDelegationKey被声明为静态/单例，会跨多个执行周期复用。你当前一次性获取UDK后长期持有，其有效期仅1小时，次日定时执行时UDK早已过期，用过期密钥生成的SAS自然验证失败。
• DefaultAzureCredential令牌缓存失效：DefaultAzureCredential会自动缓存身份令牌，但长时间闲置（如24小时）后，缓存令牌可能过期或失效，而静态BlobServiceClient不会自动刷新凭证，导致获取UDK时使用无效身份，最终生成错误的SAS签名。

修复建议 #

1. 每次执行重新获取用户委托密钥 #

移除全局UDK声明，在每次复制任务启动时临时获取，确保使用有效期内的密钥：

// 每次复制任务中执行以下逻辑，替代全局UDK
TokenCredential creds = new DefaultAzureCredential();
var sourceServiceClient = new BlobServiceClient(new Uri($"https://{_sourceStorageAcctName}.blob.core.windows.net"), creds);
var userDelegationKey = sourceServiceClient.GetUserDelegationKey(null, DateTimeOffset.UtcNow.AddHours(1));

2. 避免静态持有BlobServiceClient实例 #

In-Process模型下，静态客户端会长期驻留内存导致凭证无法及时刷新，改为每次执行创建新实例，或用依赖注入管理生命周期：

// 函数类构造函数中注入，替代静态声明
private readonly BlobServiceClient _sourceServiceClient;
public YourActivityFunction(BlobServiceClient sourceServiceClient)
{
    _sourceServiceClient = sourceServiceClient;
}

3. 优化SAS生成的时间逻辑 #

确保SAS过期时间基于当前实时时间计算，避免依赖全局变量：

var sasBuilder = new BlobSasBuilder()
{
    BlobContainerName = containerName,
    BlobName = blobName,
    Resource = "b",
    ExpiresOn = DateTimeOffset.UtcNow.AddMinutes(5), // 每次生成时计算当前时间+5分钟
    Protocol = SasProtocol.Https
};
sasBuilder.SetPermissions(BlobSasPermissions.Read);
string sasToken = sasBuilder.ToSasQueryParameters(userDelegationKey, _sourceStorageAcctName).ToString();

4. 确认托管标识权限有效性 #

重新分配源存储账户的Storage Blob Data Contributor角色，确保角色分配完全生效（避免Azure内部权限缓存导致的临时失效）。

验证步骤 #

1. 修改代码后部署至Azure
2. 手动触发一次，确认执行正常
3. 启用定时触发，连续观察数日执行状态，确认错误不再复发

内容的提问来源于stack exchange，提问作者Guillermo G