基于Java的Azure Web App访问本地自建文件共享报Access denied如何解决

你使用的StaticUserAuthenticator为JCIFS库提供的SMB身份校验类，本地开发环境中，当前登录用户的Windows上下文支持身份模拟请求正常传递，因此可以正常访问。但Azure App Service运行在隔离的沙箱环境中，默认禁用了NTLM身份模拟的上下文传递，因此该代码部署后无法完成身份校验，返回Access denied错误。

方案1：托管身份访问（生产级推荐） #

无需在代码中硬编码账号凭证，安全性最高：

• 将本地文件共享所在的Windows服务器接入Azure Arc，为文件共享启用Azure AD身份校验支持
• 为你的Azure Web App开启系统分配托管身份，在本地文件共享的权限配置中，为该托管身份对应的Azure AD账号授予文件读取权限
• 引入Azure Identity SDK，通过托管身份获取访问令牌后建立SMB连接，代码示例如下：

DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
    .build();

SMBClient smbClient = SMBClient.builder()
    .credential(credential)
    .sharePath("\\\\<本地文件共享地址>\\<共享名称>")
    .build();

方案2：JCIFS NG显式配置身份参数 #

如果暂时无法对接Azure生态，可以替换旧版JCIFS为JCIFS NG库，显式配置全部身份校验参数，不依赖系统用户上下文：

• 移除项目中旧版JCIFS依赖，引入JCIFS NG的Maven依赖
• 按如下方式编写连接代码：

Properties smbConfig = new Properties();
smbConfig.put("jcifs.smb.client.domain", "<你的域名称>");
smbConfig.put("jcifs.smb.client.username", "<有访问权限的用户名>");
smbConfig.put("jcifs.smb.client.password", "<对应用户密码>");
smbConfig.put("jcifs.smb.client.useExtendedSecurity", "true");
smbConfig.put("jcifs.smb.client.flags2", "0x801");
Configuration configuration = new PropertyConfiguration(smbConfig);

SmbFile sharedFolder = new SmbFile("smb://<文件共享IP>/<共享名称>/", configuration);
// 后续按正常逻辑读取sharedFolder下的文件即可

提示：账号密码建议存储在Azure Key Vault中，通过Azure Web App的应用配置项动态注入，禁止硬编码在代码或配置文件中。

方案3：Hybrid Connection代理访问 #

如果前两种方案不符合你的场景，可以在本地部署Hybrid Connection代理，将本地文件共享的SMB端口映射到Azure Web App，身份校验直接在本地代理层完成，代码无需额外修改，仅需要将文件共享的访问地址替换为Hybrid Connection暴露的本地地址即可。

内容的提问来源于stack exchange，提问作者Sharon