Azure Blob SAS令牌报错，但容器SAS访问同Blob正常问题排查

你的核心问题是：通过Python SDK生成的Blob SAS令牌访问Blob时返回403，但容器SAS和Azure Portal生成的Blob SAS可正常工作。以下是具体排查方向和修复方案：

可能的原因与排查步骤 #

1. 检查SAS令牌的资源类型参数（sr） #

Blob SAS令牌的sr参数必须为b（代表资源是Blob），而容器SAS的sr是c。你可以直接查看生成的SAS令牌字符串，确认sr=b是否存在：

• 正确的Blob SAS令牌片段：sr=b&sp=r&se=...
• 如果你的Blob SAS令牌中sr=c，说明生成逻辑异常，但从你的代码看，generate_blob_sas应该自动设置sr=b，需检查是否有其他代码篡改了参数。

2. Blob名称的匹配问题 #

确保传入generate_blob_sas的blob_name与实际存储的Blob名称完全一致：

• 注意大小写敏感：Azure Blob存储的名称是大小写敏感的，比如MyBlob.txt和myblob.txt是不同的Blob。
• 特殊字符处理：如果Blob名称包含空格、中文或URL保留字符（如/、?），不要手动编码，直接传入原始字符串即可，SDK会自动处理URL编码。如果传入了已编码的名称，会导致重复编码，令牌与实际Blob不匹配。

3. SAS令牌的拼接错误 #

确认Blob URL与SAS令牌的拼接格式正确：

• 正确格式：https://<存储账户名>.blob.core.windows.net/<容器名>/<Blob名>?<SAS令牌>
• 注意：generate_blob_sas生成的令牌不包含开头的?，所以拼接时需要手动添加。如果你的代码中重复添加了?（比如URL本身已有?），会导致令牌无效。

示例正确拼接代码：

blob_base_url = f"https://{account_name}.blob.core.windows.net/{container_name}/{blob_name}"
full_blob_url = f"{blob_base_url}?{sas_token}"

4. 时间参数偏差 #

虽然你的代码使用了UTC时间，但如果服务器系统时间与UTC存在较大偏差，可能导致SAS令牌未生效或已过期：

• 打印start_time和expiry_time，确认时间范围覆盖当前UTC时间。比如如果服务器时间慢于UTC，start_time可能晚于当前时间，导致令牌暂时无法使用。

5. 尝试使用BlobClient生成SAS #

可以换用BlobClient的generate_sas方法生成令牌，该方法会自动关联Blob的元信息，减少手动参数错误：

from azure.storage.blob import BlobClient, BlobSasPermissions
import datetime

start_time = datetime.datetime.now(datetime.timezone.utc)
expiry_time = start_time + datetime.timedelta(seconds=900)

# 初始化BlobClient
blob_client = BlobClient(
    account_url=f"https://{account_name}.blob.core.windows.net",
    container_name=container_name,
    blob_name=blob_name,
    credential=account_key
)

# 生成Blob SAS令牌
sas_token = blob_client.generate_sas(
    permission=BlobSasPermissions(read=True),
    expiry=expiry_time,
    start=start_time
)

对比验证 #

将你代码生成的Blob SAS令牌与Azure Portal生成的令牌对比，重点查看以下参数是否一致：

• sr：必须为b
• sp：必须为r（代表读权限）
• se：过期时间（UTC时间戳或ISO格式）
• srt：资源类型（Blob SAS应为object）

内容的提问来源于stack exchange，提问作者Mr. Leshem