使用生成的SAS令牌访问Azure Blob存储时出现403错误

核心问题分析 #

从错误信息看，签名不匹配是直接触发403的原因，结合你的存储账户配置（虚拟网络限制），需要从SAS生成逻辑、参数一致性、网络访问三个维度排查修复。

具体修复步骤 #

1. 修正Blob SAS的参数配置 #

你用generateBlobSASQueryParameters生成的是Blob对象级SAS，但错误返回的String to Sign里，资源类型是sc（服务+容器）、服务是bfqt（全服务），这和Blob级SAS的要求不符，直接导致签名计算错误：

const sasOptions = {
  containerName: containerName,
  blobName: blobName, // 注意：必须是原始未编码路径（如"profilePictures/picture.png"，不能是URL编码后的%2F格式）
  startsOn: sasStartTime,
  expiresOn: sasExpiryTime,
  permissions: "racwdt" as unknown as BlobSASPermissions,
  resource: "b", // 明确指定为Blob对象
  services: "b", // 仅指定Blob服务
  resourceTypes: "o" // 仅指定对象资源类型
};

2. 确保Blob路径未编码 #

生成SAS时传入的blobName必须是原始路径字符串，不能用URL编码后的结果。签名计算基于原始路径，若使用编码值会直接导致签名不匹配。

3. 正确拼接Blob URL与SAS令牌 #

你当前步骤5直接使用containerClient.getBlockBlobClient(blobName).url，但如果blobService是用账户级SAS创建的，这个URL已经带有账户级SAS参数，再附加Blob级SAS会引发参数冲突。正确拼接方式：

// 生成不带开头"?"的Blob级SAS令牌
const sasToken = generateBlobSASQueryParameters(sasOptions, sharedKeyCredential).toString();
// 获取不带任何SAS参数的原始Blob URL
const blockBlobClient = containerClient.getBlockBlobClient(blobName);
// 拼接SAS令牌
const blobURL = `${blockBlobClient.url}?${sasToken}`;

4. 排查虚拟网络访问限制 #

你的存储账户仅允许特定虚拟网络访问，需根据场景调整：

• 本地开发：将你的公网IP添加到存储账户的防火墙例外列表（Azure门户→存储账户→网络→防火墙→允许的IP地址）
• 生产环境：确保Web应用所在的虚拟网络/子网已加入存储账户允许列表，或开启Azure存储服务端点

5. 验证SAS参数与String to Sign一致性 #

对比错误信息中的String to Sign和你的sasOptions：

• 检查st（开始时间）、se（过期时间）是否与代码中sasStartTime、sasExpiryTime完全一致（必须为UTC时间）
• 确认权限字符串racwdt与BlobSASPermissions枚举完全匹配，无拼写错误

额外检查点 #

• 确认sharedKeyCredential使用的是存储账户的账户名+账户密钥，而非其他凭证
• 检查CORS配置：确保Allowed Methods包含GET，Allowed Headers包含*或必要请求头

内容的提问来源于stack exchange，提问作者Ariel K.