Azure Blob Storage生成SAS URL返回AuthorizationFailure问题排查

我尝试生成URL让用户直接访问受严格IP地址限制的Azure Blob Storage容器中的文件，服务负责管理请求并生成访问URL，代码如下：

CloudBlobContainer container = BlobStorage.GetContainer(_accountStatementEmailConfig.BlobStorageContainerName);
CloudBlockBlob blob = container.GetBlockBlobReference(document.StoragePath);

if (!blob.Exists())
{
    return NotFound();
}

TimeSpan sasExpiryTime = TimeSpan.FromMinutes(_apiConfig.PresignedURLExpiryInMinutes);

SharedAccessBlobPermissions permissions = SharedAccessBlobPermissions.Read;

string sasToken = blob.GetSharedAccessSignature(new SharedAccessBlobPolicy
{
    Permissions = permissions,
    SharedAccessExpiryTime = DateTime.UtcNow.Add(sasExpiryTime)
}, new SharedAccessBlobHeaders(), _apiConfig.SharedAccessSignaturePermissionsPolicyName);

string documentUrl = $"{blob.Uri.AbsoluteUri}{sasToken}";

代码能正常生成URL，但用户访问时返回错误：

<Error>
    <Code>AuthorizationFailure</Code>
    <Message>
        This request is not authorized to perform this operation. RequestId:92d7ca35-501e-0016-2a65-973659000000 Time:2023-06-01T08:43:35.2439678Z
    </Message>
</Error>

我原以为从白名单IP生成的SAS能绕过IP限制，请问是方法错误还是有遗漏细节？

核心问题：SAS无法绕过容器的IP限制 #

容器级别的IP防火墙规则是全局生效的，不管请求使用的是SAS密钥还是账户密钥，只要访问请求的来源IP不在白名单内，都会被拦截。你之前的理解有误——从白名单IP生成SAS并不意味着该SAS能让任意IP访问，容器的IP限制会直接校验最终访问请求的来源IP，而非生成SAS的IP。

可行的解决办法 #

• 方法1：生成SAS时绑定用户IP（推荐）
  在创建SharedAccessBlobPolicy时，添加SharedAccessIpAddress属性，将其设置为用户的真实访问IP（或IP段）。这样生成的SAS仅允许指定IP访问，同时容器的IP限制会放行该请求（因为SAS是通过白名单IP生成的，权限合法，且SAS自身的IP限制与容器规则兼容）。修改后的代码片段如下：

  // 获取用户真实访问IP（注意处理代理场景）
  string userIp = HttpContext.Connection.RemoteIpAddress.ToString();
  
  string sasToken = blob.GetSharedAccessSignature(new SharedAccessBlobPolicy
  {
      Permissions = permissions,
      SharedAccessExpiryTime = DateTime.UtcNow.Add(sasExpiryTime),
      SharedAccessIpAddress = userIp // 绑定用户IP
  }, new SharedAccessBlobHeaders(), _apiConfig.SharedAccessSignaturePermissionsPolicyName);
  

• 方法2：服务中转文件
  让你的服务作为中转节点：用户请求服务后，服务从Blob Storage下载文件，再将文件内容转发给用户。这种方式不需要修改容器的IP规则，也不需要生成带IP绑定的SAS，但会增加服务的带宽和资源消耗。

• 方法3：临时调整容器IP规则（不推荐）
  如果业务场景允许，可以临时将用户IP加入容器的IP白名单，但这种方式会扩大容器的访问范围，违背了“严格IP限制”的初衷，仅适合临时应急场景。

内容的提问来源于stack exchange，提问作者Matt