Java生成Azure Blob SAS遭遇Signature did not match问题求助

看起来你在手动生成Azure Blob共享访问签名（SAS）时遇到了两个核心问题：签名不匹配，以及时间范围无效的错误。我来帮你一步步排查和解决：

1. 修复SAS参数拼接的致命错误 #

你代码里最关键的问题是用了HTML转义的&作为参数分隔符，而URL中参数的正确分隔符是&。这个错误会导致Azure无法正确解析SAS的各个参数，直接引发签名不匹配的问题。

修改参数拼接代码，把所有&替换为&：

StringBuffer param = new StringBuffer();
param.append("?")
    .append("sv=").append(URLEncoder.encode(signedversion, "UTF-8")).append("&")
    .append("sr=").append(URLEncoder.encode("b", "UTF-8")).append("&")
    .append("sig=").append(URLEncoder.encode(sig, "UTF-8")).append("&")
    .append("st=").append(URLEncoder.encode(signedstart, "UTF-8")).append("&")
    .append("se=").append(URLEncoder.encode(signedexpiry, "UTF-8")).append("&")
    .append("sp=").append(URLEncoder.encode(signedpermissions, "UTF-8")).append("&")
    .append("rscd=").append(URLEncoder.encode(responsecontent, "UTF-8")).append("&")
    .append("rsct=").append(URLEncoder.encode(rsct, "UTF-8"));

2. 确保String to Sign格式完全匹配Azure要求 #

对于你使用的API版本2015-04-05，String to Sign的每个字段必须严格按顺序排列，即使是空字段也要保留对应的换行符。从Azure返回的错误信息来看，它使用的String to Sign到file; attachment就结束了，这正是因为参数分隔符错误导致Azure无法识别后续参数，修复分隔符后这个问题应该会自动解决。

另外再核对你的canonicalizedResource格式：它必须是/blob/<account-name>/<container-name>/<blob-name>，你的/blob/taelearninguat2/resource/8a5dcc036edbba6a016ede49fec30000.jpg是正确的（resource是容器名，后面是Blob名称）。

3. 正确设置时间范围 #

你遇到的Signature not valid in the specified time frame错误是因为设置的过期时间早于当前UTC时间。需要确保：

• signedstart可以设置为当前UTC时间或稍早一点（比如提前5分钟，避免服务器时钟偏差）
• signedexpiry必须晚于当前UTC时间
• 时间格式必须是yyyy-MM-ddTHH:mmZ的UTC格式，比如2020-02-20T15:00Z

可以用Java的OffsetDateTime自动生成正确的时间：

// 设置提前5分钟的开始时间和7天后的过期时间
signedstart = OffsetDateTime.now(ZoneOffset.UTC).minusMinutes(5).format(DateTimeFormatter.ISO_INSTANT);
signedexpiry = OffsetDateTime.now(ZoneOffset.UTC).plusDays(7).format(DateTimeFormatter.ISO_INSTANT);

4. 额外建议：使用Azure SDK简化SAS生成 #

手动构造String to Sign很容易出错，建议直接使用Azure Storage SDK for Java来生成SAS，SDK会自动处理所有格式和签名细节：

// 示例：用SDK生成Blob SAS
BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
    .connectionString("<你的存储账户连接字符串>")
    .buildClient();
BlobContainerClient containerClient = blobServiceClient.getBlobContainerClient("resource");
BlobClient blobClient = containerClient.getBlobClient("8a5dcc036edbba6a016ede49fec30000.jpg");

OffsetDateTime expiryTime = OffsetDateTime.now(ZoneOffset.UTC).plusDays(7);
BlobSasPermission permission = new BlobSasPermission().setReadPermission(true);
BlobServiceSasSignatureValues sasValues = new BlobServiceSasSignatureValues(expiryTime, permission)
    .setStartTime(OffsetDateTime.now(ZoneOffset.UTC).minusMinutes(5))
    .setResponseContentDisposition("file; attachment")
    .setResponseContentType("binary");

String sasToken = blobClient.generateSas(sasValues);
String sasUrl = blobClient.getBlobUrl() + "?" + sasToken;

内容的提问来源于stack exchange，提问作者zhirong tong