Azure Blob存储SAS Token签名不匹配问题求助

问题根源分析 #

从错误返回的签名字符串来看，代码存在几个关键错误：

1. StorageSharedKeyCredential 构造参数错误 #

你用连接字符串（connSrting）和密钥构造StorageSharedKeyCredential是错误的——这个类的构造参数需要存储账户名称和账户访问密钥，而非连接字符串。错误参数会直接导致签名计算与服务器端不一致。

2. （可选但建议）未显式指定SAS版本 #

虽然SDK会默认使用最新版本，但显式指定SAS版本可避免版本迭代带来的签名规则差异，提升兼容性。

3. Blob名称编码问题 #

如果Upload.FileName包含空格、中文或特殊字符，未编码直接使用会导致签名计算时的字符串不匹配。

修正后的代码 #

string blobName = Upload.FileName;
// 对Blob名称做URL编码，处理特殊字符
blobName = Uri.EscapeDataString(blobName);
BlobClient blobClient = blobContainer.GetBlobClient(blobName);

using Stream stream = Upload.OpenReadStream();
await blobClient.UploadAsync(stream, new BlobHttpHeaders { ContentType = "image/jpg" });
blobContainer.SetAccessPolicy(PublicAccessType.Blob);

BlobSasBuilder blobSasBuilder = new BlobSasBuilder()
{
    BlobContainerName = container,
    BlobName = blobName,
    ExpiresOn = DateTime.UtcNow.AddMinutes(5),
    // 显式指定SAS版本，使用最新稳定版
    Version = "2023-11-03"
};
blobSasBuilder.SetPermissions(Azure.Storage.Sas.BlobSasPermissions.Read);

// 从连接字符串中解析出账户名和密钥（推荐方式）
var storageAccount = CloudStorageAccount.Parse(connSrting);
var sharedKeyCredential = new StorageSharedKeyCredential(
    storageAccount.Credentials.AccountName, 
    storageAccount.Credentials.ExportBase64EncodedKey()
);

// 或者直接传入已知的账户名和密钥
// var sharedKeyCredential = new StorageSharedKeyCredential("你的存储账户名", "你的账户访问密钥");

var sasToken = blobSasBuilder.ToSasQueryParameters(sharedKeyCredential).ToString();
var sasUrl = blobClient.Uri.AbsoluteUri + "?" + sasToken;
Console.WriteLine(sasUrl);

额外验证步骤 #

• 确认账户密钥正确性：确保使用的是存储账户的主/次访问密钥，而非容器密钥或连接字符串片段。
• 检查时间同步：服务器与本地时间偏差超过15分钟会触发签名验证失败，确保本地时间准确。
• 对比Portal生成的SAS：在Azure Portal手动生成该Blob的SAS URL，与代码生成的Token对比参数差异，快速定位问题。

内容的提问来源于stack exchange，提问作者Gayatri