.NET Framework 4.8下Azure Blob SAS URL间歇性认证错误求助

核心原因 #

你的代码中生成Blob级别SAS时，BlobSasBuilder缺少BlobName属性设置。当Resource = "b"（表示Blob级别的SAS）时，必须指定BlobName字段，否则签名的字段结构不完整，触发Azure存储服务器返回的“Signature fields not well formed”错误。

具体修复步骤 #

1. 补充BlobSasBuilder的BlobName属性

修改GetUserDelegationSasBlob方法，为BlobSasBuilder添加BlobName赋值：

private Uri GetUserDelegationSasBlob(BlobClient blobClient)
{
    var blobSasBuilder = new BlobSasBuilder()
    {
        BlobContainerName = blobClient.BlobContainerName,
        BlobName = blobClient.Name, // 新增：指定Blob名称，必填项
        StartsOn = DateTimeOffset.UtcNow.AddMinutes(-30),
        ExpiresOn = DateTimeOffset.UtcNow.AddHours(3),
        Resource = "b",
        Protocol = SasProtocol.Https,
    };
    blobSasBuilder.SetPermissions(BlobSasPermissions.Read);

    // 使用BlobClient内置方法生成SAS，自动处理凭证与参数
    return blobClient.GenerateSasUri(blobSasBuilder);
}

2. 移除不必要的Blob类型强制转换

不要将所有Blob强制转为PageBlobClient，不同类型的Blob（BlockBlob/PageBlob/AppendBlob）需要对应客户端生成SAS，直接使用原始BlobClient即可避免类型不匹配问题。

3. 避免自定义解析连接字符串

放弃使用GetKeyValueFromConnectionString手动提取账户密钥，改用Azure SDK内置的StorageSharedKeyCredential.TryParseConnectionString方法，避免解析错误：

// 示例：验证并解析连接字符串
if (StorageSharedKeyCredential.TryParseConnectionString(_storageConnectionString, out var credential))
{
    // 如需手动构建SAS，可使用此credential
}

更推荐直接使用BlobClient.GenerateSasUri方法，它会自动从连接字符串获取凭证，无需手动处理密钥。

4. 复用BlobServiceClient实例

BlobServiceClient是线程安全的，全局单例复用即可，无需每次创建新实例，减少资源开销与潜在错误：

// 类级别声明单例
private readonly BlobServiceClient _blobServiceClient;

// 构造函数初始化
public YourStorageService(string storageConnectionString)
{
    _blobServiceClient = new BlobServiceClient(storageConnectionString);
}

// 修改getContainer方法
private BlobContainerClient getContainer(string folderName)
{
    var container = _blobServiceClient.GetBlobContainerClient(folderName);
    container.CreateIfNotExists();
    return container;
}

为什么会出现“随机报错”现象？ #

少数情况下SDK可能对缺失BlobName的场景做了兼容处理，但大部分场景下会因签名字段不完整导致验证失败，表现为部分链接有效、部分无效的随机报错。

内容的提问来源于stack exchange，提问作者barithebern