如何为托管ClickOnce安装包的Azure Blob存储使用SAS签名？

ClickOnce默认将配置的安装文件夹URL作为基础路径追加.application文件名时，若基础URL未以斜杠结尾且直接携带query参数（即你的SAS Token），会错误将文件名追加到query参数末尾，导致资源路径无法被Blob存储识别。你之前尝试的在URL末尾加#的方案不生效，是因为ClickOnce的路径拼接逻辑会直接忽略URL的fragment部分，仅处理路径和query段，因此无法解决拼接错误的问题。

方案1：调整基础URL格式（改造成本最低，优先尝试） #

在你配置的带SAS Token的容器URL末尾添加尾斜杠/，再设置为安装文件夹URL即可。

• 错误的原URL格式示例：
  https://<存储账户名>.blob.core.windows.net/<容器名>?sv=2021-10-04&st=xxx&se=xxx&sr=c&sp=r&sig=xxx
• 修正后的URL格式示例：
  https://<存储账户名>.blob.core.windows.net/<容器名>/?sv=2021-10-04&st=xxx&se=xxx&sr=c&sp=r&sig=xxx

这种格式下ClickOnce追加文件名时会自动插入到斜杠之后、SAS参数之前，最终生成的有效路径格式为：
https://<存储账户名>.blob.core.windows.net/<容器名>/<应用名>.application?sv=2021-10-04&st=xxx&se=xxx&sr=c&sp=r&sig=xxx
可直接被Blob存储正常解析。

方案2：动态SAS分发（适合需要管控访问权限、SAS需要定期轮换的场景） #

自己搭建一个轻量的接口服务作为ClickOnce的统一访问入口，所有资源请求先打到这个接口：

• 用户访问安装入口时，接口后台生成当前有效的SAS Token，302跳转到带SAS的.application文件完整路径
• 在ClickOnce发布配置中，将所有依赖资源的路径设置为相对路径，后续ClickOnce请求dll、配置文件等资源时，都会统一请求到你的接口，你可以动态为每个资源拼接最新的SAS Token再转发到Blob存储
• 该方案还支持扩展用户权限校验、访问统计等能力，无需担心SAS过期后需要重新发布安装包的问题。

方案3：使用Azure CDN授权访问（无需额外开发） #

给私有Blob存储配置Azure CDN端点，开启CDN的托管标识访问Blob存储权限，不需要对外暴露任何SAS Token：

• 将CDN端点地址配置为ClickOnce的安装文件夹URL
• 在CDN规则引擎中配置访问限制规则，比如仅允许指定的用户IP范围访问，或添加自定义请求头校验，既可以保证Blob存储不对外公开，也完全避免了SAS Token带来的URL拼接问题。

内容的提问来源于stack exchange，提问作者jhinghaus