能否将Azure Function运行时/Webhooks服务设置为允许匿名访问？

问题描述 #

许多Azure Functions扩展（例如SignalR、Durable Functions）会在/runtime/webhooks子路径下部署服务端点，但这些端点默认要求携带主机密钥才能访问。

我的函数部署在Easy Auth代理之后，已经弃用了基于主机密钥的身份验证：所有函数都设置为匿名访问，完全依赖Easy Auth的MS身份驱动Bearer Token验证来保障安全，这个方案运行正常。但客户端无法访问/runtime/webhooks相关端点，因为它们仍强制要求主机密钥。

我考虑过设置虚拟主机密钥，但更希望将全部或部分运行时Webhook端点切换为匿名访问，请问这是否可行？

另外我注意到，扩展使用的/runtime/webhooks似乎与普通Webhook绑定（即可以通过设置authLevel为匿名的那种）不是同一类东西，但不确定两者是否有关联。

解决方案与说明 #

1. 运行时Webhook与普通Webhook绑定的区别 #

你判断的没错，这两者完全不是一回事：

• 普通Webhook绑定是用户自定义函数的一种触发方式，可通过函数配置文件中的authLevel字段直接设置访问权限；
• /runtime/webhooks下的端点是Functions扩展内部运行时依赖的服务端点，由扩展自身维护，不属于用户自定义函数范畴，因此无法通过修改函数authLevel的方式调整其权限。

2. 将运行时Webhook设为匿名访问的可行方法 #

全局配置（所有扩展的运行时Webhook生效）

在Azure Functions应用的应用设置中添加以下配置项：

FUNCTIONS_RUNTIME_WEBHOOKS_AUTH_LEVEL = anonymous

该配置会全局禁用所有/runtime/webhooks端点的主机密钥验证，允许匿名访问。

针对特定扩展单独配置

如果只想开放特定扩展的运行时Webhook，可以针对对应扩展设置专属配置：

• Durable Functions：添加应用设置

  DurableTask:WebhookAuthLevel = anonymous
  

• SignalR Service：SignalR的核心协商端点可通过对应函数的authLevel设置权限，若涉及/runtime/webhooks下的内部端点，可复用全局运行时Webhook权限配置。

3. 安全风险说明 #

由于你的函数已经部署在Easy Auth代理之后，所有外部请求都必须先通过Easy Auth的Bearer Token验证才能到达Functions运行时，因此将/runtime/webhooks设为匿名访问不会引入额外安全风险——Easy Auth已经承担了前置身份验证的职责。

4. 替代方案：虚拟主机密钥 #

如果暂时不想修改权限配置，也可以生成一个固定的虚拟主机密钥并在客户端请求中携带，但这种方案需要额外维护密钥，且在已有Easy Auth的场景下必要性较低。

内容的提问来源于stack exchange，提问作者Chris DaMour