基于Azure冗余基线架构，SAS token直接访问Blob Storage可行性咨询

SAS Token 是完全可行的解决方案 #

SAS 令牌是 Azure 中实现私有 Blob 临时授权访问的标准方案，完全匹配你的需求：

• 后端服务（Web 应用/API）可在用户发起下载请求时，动态生成仅含读权限、短有效期的 SAS 令牌，拼接成 Blob 直接访问 URL 返回给前端。
• 用户点击该 URL 后，将直接与 Blob Storage 建立连接下载文件，彻底绕过「Web 应用→API→Storage」的中转路由。

可保留 Storage 的私有链接架构 #

私有链接是后端服务与 Storage 之间的私有通信通道，与 SAS URL 的用户访问路径完全独立，两者可共存：

• 后端服务依然通过私有链接访问 Storage（包括生成 SAS 令牌的操作），原有私有通信架构不会因开放 SAS 访问而改变。
• 用户通过 SAS URL 访问 Blob 的流量，走 Storage 公共端点（或配置后的私有端点，视网络策略而定），与后端私有链接流量互不干扰。

关键注意事项 #

1. 存储账户公共访问配置
   若你的 Storage 账户当前设置为「完全禁止公共访问」，外部用户无法通过 SAS URL 访问 Blob。此时需调整配置：

   • 针对需要提供直接下载的容器，开启「允许容器级公共访问」（无需开放整个存储账户）；
   • 若用户仅在虚拟网络内访问，可通过配置存储账户私有端点+虚拟网络规则，让用户设备通过内网访问 Blob，无需开放公共访问。

2. SAS 令牌安全最佳实践

   • 使用用户委派 SAS：基于 Azure AD 身份生成，权限与用户身份绑定，比账户/服务 SAS 更安全；
   • 严格控制有效期：设置为最短必要时长（如 15-30 分钟），降低令牌泄露风险；
   • 添加 IP 限制：仅允许目标用户的 IP 范围访问，进一步缩小授权范围；
   • 动态生成：所有 SAS 令牌由后端服务实时生成，绝不硬编码在前端代码中。

内容的提问来源于stack exchange，提问作者knowdotnet