Azure Blob SAS URL访问鉴权失败（AuthenticationFailed）问题排查

核心操作错误 #

从错误返回的AuthenticationErrorDetail字段可以看到，服务端用于验证的签名字符串中，资源路径是/blob/testtest/$root，但你请求的是publicfiles容器。这说明你使用的SAS URL是针对$root容器生成的，并非目标publicfiles容器。SAS权限与具体资源强绑定，跨容器使用必然导致签名不匹配，触发鉴权失败。

关于Authorization头的疑问 #

• 为何提示该头部？：这是Azure存储服务的通用鉴权错误提示，并非要求你手动添加Authorization头。当使用SAS URL时，所有鉴权信息已经包含在URL的sig等参数中，无需额外设置该头部。
• Authorization头是什么？：这是HTTP标准身份验证头部，通常在使用存储账户密钥直接请求时，需要生成包含签名的Authorization头来传递身份信息。但SAS URL模式下不需要手动配置。

公网托管静态内容的鉴权逻辑 #

公网托管静态内容有两种鉴权方式：

• 匿名访问：给容器配置公共读取权限，此时无需任何鉴权，直接访问Blob或容器列表即可。
• SAS授权访问：通过SAS可以精细化控制访问权限（比如限定有效期、允许的操作类型），即使是公网托管，也能避免资源被无限制滥用。你当前选择的是SAS模式，但因SAS与目标容器不匹配导致报错。

工具是否有误？ #

工具本身没有问题（浏览器、curl、Postman等均可正常使用），问题出在SAS URL的生成环节。你需要针对publicfiles容器重新生成带有rl（读取+列表）权限的SAS URL，再发起请求即可正常获取文件列表。

内容的提问来源于stack exchange，提问作者ilhan