基于HTTP触发器的Azure Function生成Blob SAS URI报错排查

问题排查：connectionString不能为null 报错原因 #

你当前代码从URL Query参数中读取connectionString等参数，但你的请求是POST类型，Logic Apps大概率是将参数放在请求Body中，导致Query里的connectionString为空，进而初始化BlobContainerClient时抛出空值错误。此外代码虽然读取了请求Body并反序列化为data对象，但完全没用到这些Body里的参数，这是核心问题。

修复后的代码 #

using System;
using System.IO;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Azure.WebJobs;
using Microsoft.Azure.WebJobs.Extensions.Http;
using Microsoft.AspNetCore.Http;
using Microsoft.Extensions.Logging;
using Newtonsoft.Json;
using Azure.Storage.Blobs;
using Azure.Storage.Sas;
using Azure.Storage;

namespace SasURIGeneration
{
    public static class SasUriGenerator
    {
        [FunctionName("SasUriGenerator")]
        // 把权限改成Function，避免匿名访问
        public static async Task<IActionResult> Run(
            [HttpTrigger(AuthorizationLevel.Function, "post", Route = null)] HttpRequest req,
            ILogger log)
        {
            log.LogInformation("SAS URI生成器开始处理请求");

            // 先从Query取参数（兼容临时调试），再用Body参数覆盖
            string blobName = req.Query["blobName"];
            string storageContainer = req.Query["storageContainer"];
            string storageAccount = req.Query["storageAccount"];
            string connectionString = req.Query["connectionString"];
            string accountKey = req.Query["accountKey"];

            try
            {
                // 读取并解析请求Body
                string requestBody = await new StreamReader(req.Body).ReadToEndAsync();
                dynamic data = JsonConvert.DeserializeObject(requestBody);

                // 用Body中的参数覆盖Query参数
                blobName = data?.blobName ?? blobName;
                storageContainer = data?.storageContainer ?? storageContainer;
                storageAccount = data?.storageAccount ?? storageAccount;
                connectionString = data?.connectionString ?? connectionString;
                accountKey = data?.accountKey ?? accountKey;

                // 参数校验：确保必填参数齐全
                if (string.IsNullOrEmpty(blobName))
                    return new BadRequestObjectResult("缺少必填参数：blobName");
                if (string.IsNullOrEmpty(storageContainer))
                    return new BadRequestObjectResult("缺少必填参数：storageContainer");

                // 选择认证方式：优先用connectionString，其次用storageAccount+accountKey
                StorageSharedKeyCredential credential = null;
                BlobContainerClient containerClient;

                if (!string.IsNullOrEmpty(connectionString))
                {
                    containerClient = new BlobContainerClient(connectionString, storageContainer);
                    // 从connectionString解析出账户信息（用于生成SAS）
                    var accountInfo = BlobContainerClient.ParseConnectionString(connectionString);
                    storageAccount = accountInfo.AccountName;
                    accountKey = accountInfo.AccountKey;
                    credential = new StorageSharedKeyCredential(storageAccount, accountKey);
                }
                else if (!string.IsNullOrEmpty(storageAccount) && !string.IsNullOrEmpty(accountKey))
                {
                    credential = new StorageSharedKeyCredential(storageAccount, accountKey);
                    string containerUri = $"https://{storageAccount}.blob.core.windows.net/{storageContainer}";
                    containerClient = new BlobContainerClient(new Uri(containerUri), credential);
                }
                else
                {
                    return new BadRequestObjectResult("缺少认证参数：需提供connectionString，或同时提供storageAccount和accountKey");
                }

                // 检查容器是否存在（提前发现错误）
                if (!await containerClient.ExistsAsync())
                    return new NotFoundObjectResult($"容器 {storageContainer} 不存在");

                BlobClient blobClient = containerClient.GetBlobClient(blobName);

                // 检查Blob是否存在（提前发现错误）
                if (!await blobClient.ExistsAsync())
                    return new NotFoundObjectResult($"Blob {blobName} 不存在");

                // 构建SAS令牌
                BlobSasBuilder sasBuilder = new BlobSasBuilder()
                {
                    BlobContainerName = storageContainer,
                    BlobName = blobName,
                    ExpiresOn = DateTime.UtcNow.AddMinutes(5), // 5分钟有效期
                    Protocol = SasProtocol.Https // 仅允许HTTPS访问
                };
                sasBuilder.SetPermissions(BlobSasPermissions.Read); // 仅授予读权限

                string sasToken = sasBuilder.ToSasQueryParameters(credential).ToString();
                string sasUri = $"{blobClient.Uri.AbsoluteUri}?{sasToken}";

                log.LogInformation($"成功生成SAS URI：{sasUri}");
                return new OkObjectResult(sasUri);
            }
            catch (Exception ex)
            {
                log.LogError(ex, "生成SAS URI时发生错误");
                return new StatusCodeResult(StatusCodes.Status500InternalServerError);
            }
        }
    }
}

最佳实践建议 #

• 敏感信息不要通过请求传递
  不要把connectionString或accountKey放在请求Body/Query中，应该将这些值配置到Azure Function的应用设置（Configuration）中，通过Environment.GetEnvironmentVariable("StorageConnectionString")读取，避免明文传输泄露风险。

• 严格控制Function访问权限
  将AuthorizationLevel从Anonymous改为Function，只有持有Function密钥的请求才能访问，Logic Apps中可以在调用HTTP触发器时配置密钥。

• 增加错误处理与日志
  代码中增加了异常捕获和关键步骤日志，方便排查问题；同时对容器、Blob的存在性做校验，提前返回明确的错误信息。

• SAS权限与有效期最小化
  根据实际需求设置SAS的权限（比如仅Read）和有效期（比如5分钟），遵循最小权限原则，降低泄露风险。

• 使用托管身份替代密钥
  更安全的方式是给Azure Function分配系统托管身份，然后给该身份授予Blob容器的Storage Blob Data Contributor或Storage Blob Data Reader角色，这样不需要存储任何密钥，直接用身份认证访问存储账户，彻底避免密钥泄露风险。

内容的提问来源于stack exchange，提问作者NativeNass