如何正确创建和使用Azure Blob SAS token并解决Xamarin应用403认证错误

问题根因 #

你遇到的403认证失败核心是SAS签名校验不匹配。Azure SAS的签名计算过程会覆盖完整的资源访问地址（包含域名、存储账户名、容器路径），你在DEBUG模式下对已经生成完成的SAS URI做域名替换，相当于修改了已签名的资源信息，自然会触发签名校验失败。

解决方案 #

1. 调整BlobServiceClient初始化逻辑，生成SAS前指定对外代理地址

不要在SAS生成后做字符串替换，DEBUG模式下初始化BlobServiceClient时直接将服务端点设置为你的ngrok代理地址，搭配模拟器默认账户密钥认证，这样生成的SAS URI本身就携带ngrok域名，签名也是基于该地址计算的，不会出现校验失败问题。

修改后的API侧代码示例：

// 初始化BlobServiceClient阶段区分环境
BlobServiceClient blobServiceClient;
#if DEBUG
// 存储模拟器默认账户名、固定密钥，端点替换为你的ngrok地址
var ngrokEndpoint = new Uri("http://myngrokproxy.ngrok.io/devstoreaccount1");
var emulatorCredential = new StorageSharedKeyCredential(
    accountName: "devstoreaccount1", 
    accountKey: "Eby8vdM02xNOcqFlqUwJPLlmEtlCDXJ1OUzFT50uSRZ6IFsuFq2UVErCz4I6tq/K1SZFPTOtr/KBHBeksoGMGw=="
);
blobServiceClient = new BlobServiceClient(ngrokEndpoint, emulatorCredential);
#else
// 生产环境用正常连接字符串初始化
blobServiceClient = new BlobServiceClient("生产环境存储连接字符串");
#endif

// 后续生成SAS的逻辑不需要再做字符串替换
try
{
    var client = blobServiceClient.GetBlobContainerClient(request.VenueId);
    var permissions = BlobContainerSasPermissions.Read | BlobContainerSasPermissions.List;
    var sas = client.GenerateSasUri(permissions, DateTimeOffset.Now.AddHours(1));
    return new AzureSASResponse
    {
        SAS = sas.AbsoluteUri
    };
} 
catch (Exception e)
{
    return null;
}

2. 校验时间误差

确认API服务端和Xamarin客户端的系统时间误差不超过15分钟，时间偏移过大也会导致SAS过期校验失败，必要时可以将SAS有效期的起始时间往前推10分钟做冗余。

3. 无需手动设置认证头

你当前应用侧的代码逻辑是正确的，BlobContainerClient初始化时传入携带SAS的URI后，会自动在所有请求中附加认证信息，不需要你手动构造或修改Authorization头。

内容的提问来源于stack exchange，提问作者SomeStudent