如何将Azure Function与Azure SQL连接？部署后连接失败排查

我来帮你梳理下发布后连接Azure SQL失败的常见解决步骤，这些都是我处理这类问题时常用的排查点：

• 确认Azure SQL防火墙配置
  Azure SQL默认会拒绝所有外部连接，你需要在Azure Portal中找到你的SQL服务器，进入「防火墙和虚拟网络」设置：

  1. 勾选「允许Azure服务和资源访问此服务器」，这会让Azure托管的服务（比如你的Function）能够发起连接请求。
  2. 如果你的Function使用消费计划，它的出站IP是动态的，你需要在防火墙规则中添加Function应用的所有出站IP（可以在Function应用的「概述」页面找到「出站IP地址」列表）；如果是固定计划（如专用/隔离），可以添加对应的静态IP。

• 同步连接字符串到Azure应用配置
  注意！local.settings.json仅用于本地开发环境，发布时不会自动同步到Azure的Function应用中。你需要手动在Azure Portal的Function应用里配置：
  进入「配置」->「应用程序设置」，添加或更新你的数据库连接字符串，记得将类型选择为「SQLAzure」，确保代码中读取的配置键和这里的名称一致。

• 验证连接字符串格式正确性
  Azure SQL的标准连接字符串格式要注意几个关键点：

  • 服务器地址必须是 <server-name>.database.windows.net
  • SQL认证的用户名格式是 <username>@<server-name>
  • 如果密码包含特殊字符（如&、=），要确保已经正确转义（比如用URL编码）
    你可以直接从Azure SQL服务器的「连接字符串」页面复制标准格式，避免手动输入错误。

• 使用托管标识提升安全性（可选但推荐）
  如果你不想在配置中存储明文密码，可以用托管身份认证：

  1. 在Function应用的「标识」页面启用系统分配或用户分配的托管标识。
  2. 在Azure SQL数据库中，为该托管标识创建数据库用户，并授予查询数据所需的权限（比如db_datareader）。
  3. 修改连接字符串为：Server=tcp:<server-name>.database.windows.net,1433;Database=<db-name>;Authentication=Active Directory Managed Identity;
     这种方式无需管理密码，也更符合Azure的安全最佳实践。

• 排查网络和访问权限
  如果你的Function部署在隔离计划或使用了VNet集成，需要确保：

  • 在Azure SQL的防火墙设置中添加了VNet规则，允许来自Function所在VNet的流量。
  • 没有其他网络策略（如NSG）阻止了Function到Azure SQL的端口1433的访问。

• 查看日志定位具体错误
  打开Function应用的「监测」->「日志」页面，或者通过Application Insights查看详细的错误日志。比如：

  • 如果日志显示「Login failed for user...」，说明是认证（用户名/密码或托管标识权限）问题。
  • 如果显示「Timeout expired」，大概率是防火墙或网络连通性问题。

内容的提问来源于stack exchange，提问作者Phelipe Vieira