Azure Storage SAS令牌本地正常，部署至Azure Kubernetes后认证失败求助

根据你描述的情况，本地运行正常但AKS部署后出现AuthenticationFailed且签名不匹配的错误，大概率是以下几个原因之一，我给你逐个分析并给出解决办法：

1. AKS节点时间与UTC不同步 #

Azure Storage对请求的时间偏差有严格限制（默认允许15分钟以内的偏差），如果AKS节点的系统时间和UTC时间差得太多，就会导致签名验证失败。

解决办法： #

• 登录到AKS节点执行date -u命令，查看当前UTC时间是否和实际UTC时间一致。
• 如果时间偏差较大，需要配置节点的NTP服务确保时间同步。AKS默认节点会同步时间，但如果出现异常，你可以检查节点的NTP配置，或者重启节点试试。

2. 前后端Blob名称不一致（最可能的原因） #

你后端生成SAS时用的是blob_name = content['filePath']，但前端上传时用的是file.name，如果这两个值不一致，就会导致签名验证失败——因为你生成的是Blob级别的SAS（指定了具体的blob名称），这个SAS只能用于操作这个特定的blob，前端上传到不同名称的blob时，Azure会验证签名是否匹配当前请求的blob路径，自然就不通过了。

解决办法： #

有两种方案可选：

• 方案一：生成容器级别的SAS：如果前端需要上传任意名称的blob，后端不要指定blob_name参数，生成容器级别的SAS（只指定container_name）。这样SAS拥有对整个容器的写入权限，前端可以上传任意名称的blob。修改后端代码如下：

  if content['up_down'] == 'download':
      permission = BlobSasPermissions(read=True)
      options = {
          'account_name': account_name,
          'container_name': container_name,
          'blob_name': blob_name,  # 下载时需要指定blob名称
          'account_key': os.getenv("STORAGE_ACCESS_KEY"),
          'permission': permission,
          'expiry': expiry
      }
  else:
      permission = BlobSasPermissions(write=True)
      options = {
          'account_name': account_name,
          'container_name': container_name,
          # 上传时不指定blob_name，生成容器级SAS
          'account_key': os.getenv("STORAGE_ACCESS_KEY"),
          'permission': permission,
          'expiry': expiry
      }
  SAS = generate_blob_sas(**options)
  

• 方案二：前端传递文件名给后端：前端在请求SAS时，把要上传的file.name传给后端，后端用这个文件名作为blob_name生成Blob级别的SAS，前端再用这个SAS上传到对应的blob名称。这样前后端的blob名称完全一致，签名就能匹配了。

3. SAS令牌拼接错误 #

检查后端生成的SAS令牌是否包含前缀?，如果后端生成的SAS已经带了?，前端拼接URL时https://${account}.blob.core.windows.net?${accountSas}就会变成https://xxx.blob.core.windows.net??xxx，导致URL无效，进而签名验证失败。

解决办法： #

• 后端生成SAS后，确保去掉开头的?（如果有的话），或者前端拼接时先判断SAS是否包含?，如果包含就去掉再拼接。比如前端可以这样处理：

  const cleanedSas = accountSas.startsWith('?') ? accountSas.slice(1) : accountSas;
  const blobServiceClient = new BlobServiceClient(
      `https://${account}.blob.core.windows.net?${cleanedSas}`,
      anonymousCredential
  );
  

4. 特殊字符编码问题 #

如果文件名包含空格、中文或其他特殊字符，前后端对文件名的编码方式不一致也会导致签名不匹配。比如后端用UTF-8编码，前端用了其他编码，或者某一方做了URL编码而另一方没有。

解决办法： #

• 确保前后端对blob名称的处理完全一致：比如前端传递文件名给后端时，不要做额外编码，后端直接使用该字符串生成SAS；或者前后端都统一用URL编码/解码处理文件名。

你可以先从Blob名称不一致和AKS节点时间同步这两个点排查，这是最常见的原因。

内容的提问来源于stack exchange，提问作者GZZ