Azure存储静态网站防火墙限制下的低成本访问方案咨询

针对你的约束条件（无法修改现有存储账户防火墙、无法批量添加区域IP白名单，且排除CDN/重型托管服务），以下是最贴合需求的方案：

1. 用无敏感数据的全公网存储账户托管（最优选择） #

这是你提到的方案的细化版，完全符合轻量、低成本的要求：

• 新建一个Azure存储账户，网络规则直接设为允许所有公网访问
• 只在这个账户里放静态网页的HTML、CSS和其他前端资源，严格杜绝任何敏感数据（比如配置密钥、用户信息这类）
• 启用该账户的静态网站功能，把文件传到$web容器，直接用自带的静态网站地址对外提供服务

安全补充 #

• 给新账户开软删除和版本控制，防止误删文件
• 开启存储日志，方便查看访问记录
• 用RBAC只给需要管理的人配权限，前端访问保持全开放就行

2. 轻量反向代理（Azure Functions消费计划） #

如果不想新开存储账户，用消费计划的Azure Functions做反向代理是个极低成本的选项：

• 建一个消费计划的Function（免费额度内基本不花钱）
• 写个HTTP触发的函数，逻辑就是请求原存储账户里的静态资源，再返回给用户
• 把Function的出站IP段加到原存储账户的防火墙白名单里（Function的IP段在门户的「网络」页面能查到）
• 用户直接访问Function的地址就行，相当于通过Function绕开了原账户的IP限制

注意事项 #

• 消费计划的出站IP是动态的，要把整个区域的Function IP段都加进去
• 函数里要处理好MIME类型和缓存，不然静态资源可能加载异常

3. Azure CDN免费层（补充方案） #

如果你之前觉得CDN成本高，可以试试Azure CDN的Microsoft免费层，CDN本身不收费，只收存储流量：

• 给原存储账户的静态网站地址配CDN免费层
• 把CDN的边缘IP段加到原存储账户的白名单里
• 用户通过CDN地址访问，CDN会从原账户拉取资源缓存，不用给用户IP加白名单

内容的提问来源于stack exchange，提问作者Zenwalker