Azure Blob Storage .NET代码报403授权失败，为何CLI操作正常？

出现这种差异的核心原因通常是令牌受众不匹配，或是.NET SDK请求的身份验证上下文与Azure CLI不同，以下是具体排查方向和解决方法：

1. 令牌受众（Audience）不匹配 #

Azure CLI使用--auth-mode login时，会自动请求针对存储服务的令牌（受众为https://storage.azure.com/），而DefaultAzureCredential等默认配置下，请求的是Azure资源管理（ARM）的令牌（受众为https://management.azure.com/），用ARM令牌访问Blob存储会直接触发403授权失败。

解决方法：创建BlobServiceClient时，显式指定存储服务的令牌受众：

var credential = new DefaultAzureCredential();

// 配置Blob客户端选项，指定令牌受众为存储服务
var blobOptions = new BlobClientOptions
{
    TokenCredentialPolicy = new TokenCredentialPolicyOptions
    {
        Audience = "https://storage.azure.com/"
    }
};

blobServiceClient = new BlobServiceClient(
    new Uri($"https://{accountName}.blob.core.windows.net/"),
    credential,
    blobOptions);

containerClient = blobServiceClient.GetBlobContainerClient(containerName);

await foreach (BlobItem blob in containerClient.GetBlobsAsync())
{
    Console.WriteLine($"  {blob.Name}");
}

2. 验证CLI与代码使用的账户一致性 #

即使你在CLI和Visual Studio中都登录了，也可能存在账户不匹配的情况：

• 检查CLI当前账户：运行az account show，确认账户ID和租户ID
• 检查Visual Studio使用的账户：打开「工具」→「选项」→「Azure服务身份验证」，确认所选账户与CLI一致
• 使用AzureCliCredential时，确保代码和CLI在同一个命令行实例中运行，避免环境变量不一致

3. 清除令牌缓存 #

如果存在旧的、权限不足的令牌缓存，可能导致代码验证失败：

• 清除CLI缓存：运行az account clear，然后重新执行az login
• 对于Visual Studio，可以重启IDE，或在「Azure服务身份验证」中重新添加账户

4. 检查存储账户防火墙的细节 #

虽然你的IP在允许列表中，但需确认：

• 存储账户防火墙是否启用了「允许受信任的Microsoft服务访问」？Azure CLI的部分请求可能依赖此设置，而.NET SDK直接访问Blob端点时需要你的IP明确在列表中
• 确认本地公网IP是否正确（可以通过curl ifconfig.me获取），避免IP地址变动导致不在允许列表内

内容的提问来源于stack exchange，提问作者prio