Visual Studio本地用DefaultCredential下载Azure Blob时报颁发者验证不匹配错误

该报错本质是身份验证模块获取到的令牌颁发者与存储账户预期的颁发者不匹配，你可以按以下步骤调整：

1. 确认账号权限 #

• Visual Studio当前登录的Azure账号，必须在目标存储账户的访问控制(IAM) 中被分配了至少存储Blob数据读取者角色，仅给存储账户的所有者/参与者角色不会生效，必须选择包含Blob数据操作权限的角色

2. 显式限定身份验证源 #

默认的DefaultAzureCredential会按优先级尝试多个身份验证源，极易获取到非预期的身份令牌导致报错，你可以修改代码显式指定仅使用Visual Studio身份源：

DefaultAzureCredentialOptions credentialOptions = new DefaultAzureCredentialOptions()
{
    // 关闭其他所有身份源，仅保留Visual Studio身份验证
    ExcludeEnvironmentCredential = true,
    ExcludeWorkloadIdentityCredential = true,
    ExcludeManagedIdentityCredential = true,
    ExcludeAzureCliCredential = true,
    ExcludeAzurePowerShellCredential = true,
    ExcludeSharedTokenCacheCredential = true,
    ExcludeVisualStudioCodeCredential = true,
    ExcludeInteractiveBrowserCredential = true,
    // 非公有云场景下需要补充你的Azure租户ID
    // TenantId = "你的实际租户ID"
};
DefaultAzureCredential credential = new DefaultAzureCredential(credentialOptions);
Uri uri = new Uri("https://xxx.blob.core.windows.net/xxx/xxx.json");
BlobClient blobClient = new BlobClient(uri, credential);
Response<BlobDownloadResult> downloadResponse = blobClient.DownloadContent();

3. 非公有云场景额外配置 #

如果你使用的是Azure中国区（世纪互联）、Azure美国政府云等非公有云环境，需要额外指定云环境端点避免颁发者不匹配：

// 以Azure中国区为例配置云环境
BlobClientOptions blobOptions = new BlobClientOptions()
{
    AuthorityHost = AzureAuthorityHosts.AzureChina
};
BlobClient blobClient = new BlobClient(uri, credential, blobOptions);

4. 校验VS身份上下文 #

打开VS的工具->选项->Azure服务身份验证，确认当前选中的账号就是你分配了存储权限的Azure账号，避免多账号登录时选中了错误身份。

内容的提问来源于stack exchange，提问作者qvt