VS2019发布项目至Azure时scm发布URL报403 Forbidden错误

问题特征 #

• 使用Visual Studio 2019发布.NET Core 3.1项目，发布配置为带scm字段的标准Kudu zipdeploy地址，符合官方部署规范
• 部署流程返回报错如下：

1>Publishing C:\CLOUD\ADX\ADX-Integration\src\Adx.Integration\obj\Debug\netcoreapp3.1\PubTmp\Adx.Integration - 202207061539128.zip to https://XXXX.scm.azurewebsites.net/api/zipdeploy...1>The attempt to publish the ZIP file through https://XXXX.scm.azurewebsites.net/api/zipdeploy failed with HTTP status code Forbidden.

• 浏览器直接访问带scm的地址返回Error 403 : forbidden，移除scm字段的主站地址可正常加载
• 已在主站访问限制中配置0.0.0.0/0规则放通所有IP，常规公开方案无法解决问题

排查修复步骤（按优先级操作） #

• 优先校验SCM站点独立访问限制：Azure App Service的主站和SCM部署站点的访问限制是独立配置、独立生效的，之前配置的全放通规则如果只应用在主站，不会自动同步到SCM站点。操作路径：进入对应App Service的「网络」菜单→打开「访问限制」→在页面顶部切换到SCM 站点标签，确认该标签下同样配置了0.0.0.0/0允许规则，且未匹配规则的执行动作设置为「允许」。
• 校验公网访问权限配置：如果App Service配置过私有终结点，默认会封禁SCM站点的公网访问权限。进入「网络」→「私有访问」配置页，确认已勾选「允许公网访问SCM站点」选项，或者将当前本地网络的出口IP单独加入SCM站点的IP允许列表。
• 开启SCM基本身份验证：VS2019默认使用发布凭据的基本身份验证模式对接SCM接口，如果该开关被关闭，无论IP是否放通都会返回403。操作路径：进入App Service「配置」→「常规设置」页，找到SCM 基本身份验证发布凭据选项，设置为开启后保存配置等待生效。
• 重置发布凭据：在App Service概览页点击「重置发布配置文件」，等待操作完成后重新下载最新的发布配置文件，导入VS2019替换旧的发布配置再重试部署。旧发布凭据过期、权限失效是触发该类403的常见原因。
• 校验前置访问规则：如果App Service前置绑定了WAF、CDN、Front Door等网关服务，且配置了仅允许网关IP访问站点，需要将本地出口IP、VS部署服务的出口IP段同时加入SCM站点的允许列表，不要仅配置主站的访问规则。

若以上步骤全部验证后仍无法访问SCM地址，可直接在Azure门户内尝试通过「开发工具」→「高级工具」入口打开Kudu控制台，如果门户内打开同样返回403，可提交Azure支持工单让后端重启SCM站点实例，部分异常场景为SCM独立实例挂死导致的权限错误，后端重启即可恢复。

内容的提问来源于stack exchange，提问作者Ayushi Gupta