如何为Azure Blob共享访问令牌设置有效期及读写权限，当前实现是否合理

现有实现方案正确性判断 #

你当前采用的Node.js后端通过StorageSharedKeyCredential生成SAS令牌下发给前端使用的方案是正确的，属于Azure官方推荐的浏览器端访问Blob存储的标准安全方案，避免了存储账户密钥直接暴露在前端的风险。

10分钟有效期、单权限SAS令牌实现 #

你需要额外引入SDK提供的generateBlobSASQueryParameters工具方法生成定制化的SAS令牌，完整实现代码如下：

const { StorageSharedKeyCredential, BlobSASPermissions, generateBlobSASQueryParameters, SASProtocol } = require('@azure/storage-blob')

// 初始化共享密钥凭证，和现有代码逻辑一致
const sharedKeyCredential = new StorageSharedKeyCredential('<azure storage account name>', '<Azure Storage Account  Key>');

/**
 * 生成容器级SAS令牌
 * @param {string} containerName 目标Blob容器名称
 * @param {'read'|'write'} permission 授予的权限，仅支持单次传入读或写
 * @returns {string} SAS令牌字符串
 */
function generateSinglePermissionSas(containerName, permission) {
  // 配置单一权限
  const sasPermissions = new BlobSASPermissions();
  if (permission === 'read') {
    sasPermissions.read = true;
  } else if (permission === 'write') {
    sasPermissions.write = true;
  }

  // 配置有效期，预留5分钟时钟偏移容错，实际可用时长为10分钟
  const startsOn = new Date();
  startsOn.setMinutes(startsOn.getMinutes() - 5);
  const expiresOn = new Date();
  expiresOn.setMinutes(expiresOn.getMinutes() + 10);

  // 生成SAS参数
  const sasParams = generateBlobSASQueryParameters({
    containerName,
    permissions: sasPermissions,
    protocol: SASProtocol.Https, // 仅允许HTTPS协议访问，提升安全性
    startsOn,
    expiresOn
  }, sharedKeyCredential);

  return sasParams.toString();
}

配置说明 #

• 有效期控制：通过expiresOn参数设置令牌过期时间为当前时间加10分钟，startsOn预留5分钟偏移是为了兼容不同设备的时钟误差，不会延长令牌的实际可用时长。
• 权限控制：每次调用生成方法仅传入读或写其中一个权限值，生成的SAS令牌仅具备对应单一操作权限，无法同时执行读写操作。
• 前端使用：前端拿到返回的SAS令牌后，直接拼接在Blob资源访问URL末尾即可发起对应读写请求，无需额外携带身份凭证。

内容的提问来源于stack exchange，提问作者Setanjan Roy