.NET Core MVC应用如何限制Azure Blob URL仅本站域内访问？

首先必须把Azure Blob Storage容器的公共访问权限改成私有，这是所有安全方案的前提，彻底关闭匿名访问。

方案1：生成短期SAS令牌拼接Blob URL #

这是最直接且易实现的方案，核心是为每个Blob生成带有效期、权限限制的SAS令牌，前端直接使用带SAS的Blob URL。

实现步骤： #

1. 在.NET Core项目中引入Azure.Storage.Blobs NuGet包
2. 在后端编写生成SAS令牌的方法，针对单个Blob生成仅含只读权限、有限有效期的令牌：

using Azure.Storage.Blobs;
using Azure.Storage.Sas;

public string GenerateBlobSasUrl(string blobContainerName, string blobName)
{
    var blobServiceClient = new BlobServiceClient("你的Azure存储账户连接字符串");
    var blobContainerClient = blobServiceClient.GetBlobContainerClient(blobContainerName);
    var blobClient = blobContainerClient.GetBlobClient(blobName);

    // 配置SAS参数：只读权限、1小时有效期
    var sasBuilder = new BlobSasBuilder()
    {
        BlobContainerName = blobContainerName,
        BlobName = blobName,
        Resource = "b", // 表示单个Blob
        ExpiresOn = DateTimeOffset.UtcNow.AddHours(1)
    };
    sasBuilder.SetPermissions(BlobSasPermissions.Read);

    // 生成SAS令牌并拼接成完整URL
    var sasToken = sasBuilder.ToSasQueryParameters(new Azure.Storage.StorageSharedKeyCredential(
        blobServiceClient.AccountName, 
        "你的存储账户访问密钥")).ToString();
    return $"{blobClient.Uri}?{sasToken}";
}

3. 在MVC视图中，直接将生成的带SAS的URL赋值给img或embed标签的src属性：

<img src="@Model.BlobSasUrl" />
<embed src="@Model.PdfBlobSasUrl" />

额外安全优化： #

• 缩短SAS令牌的有效期（比如15分钟到1小时），降低泄露风险
• 配置SAS的IPRange参数，仅允许你的网站服务器或指定用户IP段访问
• 禁止SAS令牌包含写、删除等不必要的权限

方案2：Azure CDN + 令牌验证（适合高并发场景） #

如果你的应用有大量静态资源访问需求，可以搭配Azure CDN，通过CDN的令牌验证功能控制访问，同时保留前端直接用URL的方式：

实现步骤： #

1. 将Blob容器设为私有，创建Azure CDN并指向你的Blob存储账户
2. 在CDN端点配置令牌验证规则：
   • 设置令牌的密钥、有效期、允许的IP范围等
   • 配置CDN仅接受带有效令牌的请求
3. 在后端生成符合CDN规则的令牌，拼接在CDN URL后返回给前端，前端直接使用该URL：

<img src="https://your-cdn-endpoint.azureedge.net/blob-path?token=生成的CDN令牌" />

这个方案的优势是CDN可以缓存资源，减轻Blob存储的压力，同时令牌验证逻辑由CDN处理，后端只需负责生成令牌。

方案3：利用Azure AD托管标识（适合企业级场景） #

如果你的应用已经集成Azure AD，可以通过托管标识获取访问Blob的权限，不过由于HTML标签无法自定义请求头，需要结合前端的Blob URL处理：

1. 为你的.NET Core应用配置Azure AD托管标识，并赋予Blob存储的读取权限
2. 后端获取Azure AD访问令牌，前端通过JavaScript使用该令牌请求Blob，将返回的二进制数据转为blob: URL后赋值给HTML标签：

// 前端示例（需从后端获取Azure AD令牌）
fetch('https://your-storage-account.blob.core.windows.net/container/blob.jpg', {
    headers: {
        'Authorization': `Bearer ${azureAdToken}`
    }
})
.then(response => response.blob())
.then(blob => {
    const imgUrl = URL.createObjectURL(blob);
    document.getElementById('target-img').src = imgUrl;
});

这个方案无需生成SAS令牌，但需要前端做额外的请求处理，适合对安全要求极高的场景。

内容的提问来源于stack exchange，提问作者Mani J