Azure Blob容器上传认证失败，寻求时区无关解决方案

嘿，我来帮你搞定这个头疼的Azure上传身份验证问题！

问题复盘 #

你遇到的错误提示是：

Server failed to authenticate the request. Make sure the value of Authorization header is formed correctly including the signature.

而且你已经通过测试验证了关键结论：不是时区本身的问题，而是设备的本地时间和时区设置不匹配，导致计算出的GMT时间和Azure服务器的GMT时间偏差过大——比如把时区设为GMT+0但时间还是GMT-3的时间，就会触发Request date header too old的错误。现在需要一个不依赖设备时区正确性的上传方案，还不能用SAS。

问题本质 #

Azure存储服务在验证请求签名时，会检查请求头里的时间戳和服务器GMT时间的差值，默认允许最多15分钟的偏差。如果设备本地时间（结合时区转成GMT后）和Azure服务器时间差超了这个范围，就会直接拒绝请求。你的应用没法保证设备时区一定正确，所以得绕开本地时间的限制。

靠谱解决方案 #

方案1：升级到新版Azure.Storage.Blobs SDK（首推） #

你现在用的是旧版的Microsoft.Azure.Storage.Blob包，新版的Azure.Storage.Blobs SDK已经内置了时间偏差自动修复机制——当检测到时间相关的身份验证失败时，它会自动从Azure服务器获取正确时间，重新生成签名并重试请求，完全不用管设备的时区和时间设置。

升级后的代码示例：

using Azure.Storage.Blobs;
using System.IO;
using System.Threading;
using System.Threading.Tasks;

public async Task<bool> SendPhotosAsync(int examID)
{
    try
    {
        CancellationTokenSource cts = new CancellationTokenSource();
        cts.CancelAfter(Constants.SendExamPhotosAsyncTimeout);

        // 初始化新版Blob服务客户端
        BlobServiceClient blobServiceClient = new BlobServiceClient(Constants.AzureBlobStorageConnectionString);
        BlobContainerClient containerClient = blobServiceClient.GetBlobContainerClient(Constants.AzureBlobContainerExamFacePhotos);

        foreach (var image in GetExamFacePhotos(examID))
        {
            var fileName = Path.GetFileName(image);
            BlobClient blobClient = containerClient.GetBlobClient(fileName);

            using (var fileStream = File.OpenRead(image))
            {
                if (fileStream.Length > 0)
                {
                    await blobClient.UploadAsync(fileStream, cancellationToken: cts.Token);
                }
            }
        }
        return true;
    }
    catch (TaskCanceledException)
    {
        throw new Exception(_context.GetString(Resource.String.error_task_canceled));
    }
    catch (Exception)
    {
        throw new Exception(_context.GetString(Resource.String.error_send_exam_media));
    }
}

这个方案最省心，新版SDK已经把所有复杂逻辑都封装好了，你只需要替换掉旧的客户端初始化和上传代码就行。

方案2：旧版SDK中手动获取Azure服务器时间（临时过渡用） #

如果暂时没法升级SDK，那可以手动向Azure存储服务发一个HEAD请求，拿到服务器的当前时间，然后用这个时间来生成请求签名，彻底避开本地时间的坑。

示例代码如下：

using Microsoft.Azure.Storage;
using Microsoft.Azure.Storage.Blob;
using System;
using System.IO;
using System.Net;
using System.Threading;
using System.Threading.Tasks;

public async Task<bool> SendPhotosAsync(int examID)
{
    try
    {
        CancellationTokenSource cts = new CancellationTokenSource();
        cts.CancelAfter(Constants.SendExamPhotosAsyncTimeout);

        CloudStorageAccount storageAccount = CloudStorageAccount.Parse(Constants.AzureBlobStorageConnectionString);
        CloudBlobClient blobClient = storageAccount.CreateCloudBlobClient();
        CloudBlobContainer container = blobClient.GetContainerReference(Constants.AzureBlobContainerExamFacePhotos);

        // 先获取Azure服务器的GMT时间
        DateTimeOffset azureServerTime = await GetAzureServerTimeAsync(storageAccount.BlobEndpoint.AbsoluteUri);

        foreach (var image in GetExamFacePhotos(examID))
        {
            var fileName = Path.GetFileName(image);
            CloudBlockBlob blockBlob = container.GetBlockBlobReference(fileName);

            // 把请求的时间戳设置为Azure服务器的时间，代替本地时间
            blockBlob.ServiceClient.DefaultRequestOptions.Date = azureServerTime;

            using (var fileStream = File.OpenRead(image))
            {
                if (fileStream.Length > 0)
                {
                    await blockBlob.UploadFromStreamAsync(fileStream, fileStream.Length, null, null, null, cts.Token);
                }
            }
        }
        return true;
    }
    catch (TaskCanceledException)
    {
        throw new Exception(_context.GetString(Resource.String.error_task_canceled));
    }
    catch (Exception)
    {
        throw new Exception(_context.GetString(Resource.String.error_send_exam_media));
    }
}

// 专门用来获取Azure服务器时间的方法
private async Task<DateTimeOffset> GetAzureServerTimeAsync(string blobEndpoint)
{
    HttpWebRequest request = (HttpWebRequest)WebRequest.Create(blobEndpoint);
    request.Method = "HEAD";
    request.Timeout = 5000; // 5秒超时，避免卡住

    using (HttpWebResponse response = (HttpWebResponse)await request.GetResponseAsync())
    {
        // 从响应头里拿Date字段，这就是Azure服务器的当前GMT时间
        if (!string.IsNullOrEmpty(response.Headers["Date"]))
        {
            return DateTimeOffset.Parse(response.Headers["Date"]);
        }
        // 万一拿不到，退而求其次用UTC时间（虽然可能还是有问题，但比本地时间靠谱）
        return DateTimeOffset.UtcNow;
    }
}

这个方法的核心就是用Azure服务器自己的时间来生成请求签名，完全不受设备时区和本地时间的影响。

最后提醒 #

• 优先选方案1，新版SDK不仅解决了时间问题，还性能更好、API更简洁，后续维护也更方便。
• 两种方案的核心逻辑都是摆脱对本地时间/时区的依赖，改用Azure服务器的时间来做身份验证。

内容的提问来源于stack exchange，提问作者gregoryp