Xamarin Forms应用对接Azure存储：SAS方案选型咨询

1. 最优SAS方案：服务SAS（Service SAS） #

• 你的场景无用户身份体系，用户委托SAS依赖Azure AD身份验证，确实不适用。服务SAS是针对单个Blob服务、特定容器/Blob生成的，可精确配置只读权限，有效期可自定义，完全匹配你的公开文件读取需求。
• 账户SAS权限覆盖整个存储账户，风险极高，绝对不能用于客户端应用。
• 关于过期问题：所有类型的SAS（用户委托、服务、账户）都有有效期，过期后都会导致访问失败。你需要在应用中处理失效逻辑——比如捕获访问错误后，从后端获取新的SAS，不要把SAS生成逻辑放在客户端。

2. 同类实践参考 #

• 多数分发公开内容的移动应用（如新闻APP加载素材、文档类APP加载公开文档）都会采用服务SAS方案：后端负责生成带有限权限（只读）和短有效期（如1小时）的SAS，客户端仅用SAS读取Blob。
• 若文件完全无敏感内容，可直接将Blob容器设置为匿名公共访问（容器级或Blob级），无需SAS即可通过URL直接访问，实现更简化的架构。但需确认容器仅开放读权限，禁止写/删除操作。

3. 连接字符串与SAS的安全保障 #

• 禁止硬编码账户密钥或账户SAS到客户端：Xamarin应用包易被反编译，硬编码密钥会直接导致存储账户泄露风险。
• 通过后端中转SAS：搭建轻量后端API（如Azure Functions、ASP.NET Core Web API），客户端请求API获取最新服务SAS。后端生成SAS时严格限制权限（仅读）、缩短有效期，即使SAS泄露，影响范围也被控制。
• 若使用匿名公共访问，务必在Azure门户配置容器访问策略为“允许匿名读取Blob”，避免开放不必要的权限。
• 定期轮换存储账户密钥：若因特殊场景必须使用账户密钥，需定期在Azure门户轮换密钥，降低泄露后的危害。

内容的提问来源于stack exchange，提问作者irldev