Azure Functions仅允许APIM访问遇403问题求助

核心问题分析 #

你遇到的403错误本质是前端直接发起了对Azure Functions的请求，此时请求的源IP是客户端的公网IP，而非APIM的虚拟IP，自然触发了你配置的Functions访问限制规则。

具体修复步骤 #

• 修改前端请求目标：把前端里直接调用Azure Functions的地址，替换成APIM为这两个函数暴露的API路径。比如原来前端请求https://your-function-app.azurewebsites.net/api/upload，改成https://your-apim-instance.azure-api.net/file-service/upload（具体路径根据你在APIM中配置的API规则调整）。这样所有请求都会先经过APIM，由APIM作为代理转发到Functions，此时Functions看到的请求源就是APIM的出站IP，符合允许规则。
• 验证APIM路由配置：在APIM的“API”菜单下，确认已为上传函数和SAS令牌生成函数创建了对应的操作，并且每个操作的“后端”设置正确指向了对应Functions的HTTP触发端点。
• 确认APIM出站IP范围：登录Azure门户，进入你的APIM实例，在“概述”页面找到“出站IP地址”列表，把这些IP全部添加到Azure Functions的“访问限制”允许源中（注意不是APIM的入站IP）。
• 可选加固措施：在APIM中开启订阅密钥认证或客户端证书认证，确保只有持有合法密钥/证书的前端才能访问APIM的API，进一步防止绕过APIM直接访问Functions的情况。

内容的提问来源于stack exchange，提问作者bowlingh23