使用Service SAS Token向Azure Queue插入消息失败问题排查

核心问题总结 #

你的代码存在客户端类型误用、参数传递错误等问题，同时浏览器直接访问队列URI的方式不符合SAS权限对应的操作要求，最终导致报错。

代码中的具体错误及修复 #

1. 错误使用BlobServiceClient处理Queue资源
   BlobServiceClient是专门用于Azure Blob存储的客户端，无法操作Queue队列。应直接使用QueueClient或QueueServiceClient来处理队列资源。

2. SendMessageUsingSasToken方法调用语法错误
   原代码调用时缺少参数分隔符，正确写法应为：

SendMessageUsingSasToken(blobServiceClientAccountSAS.Uri, queueName, sasToken);

更合理的方式是直接基于队列URI创建QueueClient，无需通过BlobServiceClient中转。

3. QueueClient构造与SendMessage调用错误

• 构造QueueClient时，若传入的serviceUri已包含队列名称（如https://{accountName}.queue.core.windows.net/{queueName}），无需再传入queueName参数，否则会生成错误的嵌套路径URI。
• SendMessage方法无需额外传入sasToken，QueueClient实例已通过构造参数获取了访问凭证。

4. SAS Token拼接时的空格问题
   原代码中拼接SAS Token的URI存在多余空格（"? {sasToken}"），会导致Token解析失败，需去掉空格改为"?{sasToken}"。

浏览器访问报错的原因 #

浏览器访问队列URI时默认发送GET请求，该请求对应「获取队列属性」操作，但你的SAS Token仅授予了Add（添加消息）和Read（读取消息）权限。Read权限仅覆盖读取队列消息的操作（即访问/messages端点），不包含获取队列属性的操作。
若要通过浏览器验证SAS权限，应访问消息端点：

https://{accountName}.queue.core.windows.net/{queueName}/messages?{sasToken}

该GET请求会读取队列消息，符合你授予的Read权限。

修正后的完整代码 #

public async Task<ApiResponse<QueueClient>> GetServiceQueueSasToken()
{
    ApiResponse<QueueClient> result = new ApiResponse<QueueClient>();
    try
    {
        string queueName = "queueName";
        string accountName = "accountName";
        string accountKey = "accountKey";
        StorageSharedKeyCredential storageSharedKeyCredential = new(accountName, accountKey);

        var queueUri = new Uri($"https://{accountName}.queue.core.windows.net/{queueName}");
        string sasToken = await CreateServiceQueueSASToken(storageSharedKeyCredential, queueName);
        
        // 直接创建QueueClient，无需BlobServiceClient中转
        QueueClient queueClient = new QueueClient(new Uri($"{queueUri}?{sasToken}"));
        SendMessageUsingSasToken(queueClient);

        result.Data = queueClient;
        result.IsSucceed = true;
    }
    catch (Exception ex)
    {
        result.IsSucceed = false;
        result.Exception = ex;
        result.ErrorMessages = new List<string>();
        result.ErrorMessages.Add(ex.Message);
    }
    return result;
}

public static async Task<string> CreateServiceQueueSASToken(StorageSharedKeyCredential sharedKey, string queueName)
{
    var queueSasBuilder = new QueueSasBuilder()
    {
        QueueName = queueName,
        ExpiresOn = DateTimeOffset.UtcNow.AddDays(1),
        Protocol = SasProtocol.Https
    };

    queueSasBuilder.SetPermissions(QueueSasPermissions.Add | QueueSasPermissions.Read);

    string sasToken = queueSasBuilder.ToSasQueryParameters(sharedKey).ToString();

    return sasToken;
}

static void SendMessageUsingSasToken(QueueClient queueClient)
{
    queueClient.SendMessage("Your message content");
    Console.WriteLine("Message sent successfully.");
}

额外注意事项 #

• 确认存储账户密钥、队列名称无拼写错误。
• 若仍报错，检查存储账户防火墙设置，确保当前环境IP被允许访问。
• 可使用Azure Storage Explorer验证SAS Token有效性，直接通过Token连接队列并测试操作。

内容的提问来源于stack exchange，提问作者Asif Khokhar