关联Azure Static Web App的Function App双场景认证方案咨询

核心逻辑 #

将身份认证完全交给Azure AD内置的身份验证层（Easy Auth）处理，函数保持authLevel = anonymous配置即可，所有未携带有效身份凭据的请求会被Azure前置网关直接拦截返回401，不会到达函数代码，从根源避免匿名访问风险。

两类场景的适配实现 #

• 面向技术人员、办公人员的Web访问场景
  将SWA和Function App的身份提供方配置为同一个Azure AD租户，SWA关联Function App后，前端调用函数接口时会自动附带当前登录用户的ID令牌，Function App的验证层会直接校验通过，用户访问体验和原有方案完全一致，无需修改前端代码，也不会暴露任何静态密钥。
• 面向系统、脚本、Webhook的自动化调用场景
  为每个自动化调用方在同一Azure AD租户中注册服务主体（Azure内部服务可直接使用托管身份，无需单独注册），为服务主体授予Function App的访问权限。调用时通过OAuth2.0客户端凭据流获取访问令牌，将令牌放入请求的Authorization头中即可完成认证，全程无需交互式操作，适配所有自动化触发场景。

可选安全优化 #

可在函数代码中解析传入令牌的Claims，区分用户身份和服务主体身份，实现细粒度权限控制：比如部分内部操作接口仅允许特定用户角色访问，部分Webhook回调接口仅允许指定的服务主体调用。访问令牌默认自带有效期，无需像API密钥一样定期手动轮换静态密钥，也可随时撤销特定服务主体的访问权限，无需修改函数侧配置。

脚本调用示例 #

以下为通过Azure CLI获取令牌并调用函数的参考命令：

# 获取对应Function App的访问令牌
TOKEN=$(az account get-access-token --resource <替换为你的Function App应用ID URI> --query accessToken -o tsv)
# 发起函数调用请求
curl -H "Authorization: Bearer $TOKEN" https://<替换为你的Function App域名>/api/<替换为函数名>

内容的提问来源于stack exchange，提问作者Krolken