Java应用访问Azure BlobServiceClient时遇AuthenticationError求助

错误根源 #

你的403认证失败（AuthenticationFailed），具体错误信息The specified signed resource is not allowed for the this resource level，核心原因是SAS令牌的资源范围和代码使用的客户端类型不匹配：

• 你生成的是Blob容器或单个Blob级别的SAS令牌，但代码中使用了BlobServiceClient（存储服务级客户端），该客户端的操作（如listBlobContainers、getProperties）需要存储账户级别的SAS令牌，权限范围不匹配导致拒绝访问。

代码修正 #

如果你的SAS是针对特定容器生成的，应改用BlobContainerClient来操作容器内的资源，示例代码如下：

String sasToken = "your-blob-container-sas-token";
// 替换为目标容器的Endpoint，格式：https://<存储账户名>.blob.core.windows.net/<容器名>
String containerEndpoint = "your-container-endpoint";

// 创建容器客户端
BlobContainerClient containerClient = new BlobContainerClientBuilder()
        .endpoint(containerEndpoint)
        .sasToken(sasToken)
        .buildClient();

try {
    // 列出容器内的所有Blob
    PagedIterable<BlobItem> blobItems = containerClient.listBlobs();
    for (BlobItem item : blobItems) {
        System.out.println("找到Blob: " + item.getName());
        // 下载Blob到本地文件
        BlobClient blobClient = containerClient.getBlobClient(item.getName());
        blobClient.downloadToFile("本地存储路径/" + item.getName());
    }
} catch (Exception ex) {
    System.out.println("应用异常: " + ex.getMessage());
}

关键注意事项 #

• 账户级SAS：支持存储服务级操作（如列出所有容器、获取服务属性），需配合BlobServiceClient使用
• 容器级SAS：支持该容器内的所有操作（如列出Blob、下载/上传Blob），需配合BlobContainerClient使用
• Blob级SAS：仅支持单个Blob的指定操作，需配合BlobClient使用

请确认生成SAS时选择的资源级别，匹配对应的客户端类型即可解决认证问题。

内容的提问来源于stack exchange，提问作者lm.