基于自定义镜像部署的Azure Functions app设匿名权限仍返回401未授权

常见触发原因 #

• 自定义Docker镜像打包时未同步最新function.json配置：VS Code部署容器化Function时，若镜像构建阶段没有将修改后的function.json打包到镜像的函数工作目录，云端运行的仍然是旧版本配置（authLevel为function或admin）
• Function App平台层开启了全局身份验证：即使触发器配置了匿名权限，平台层的身份验证模块会先拦截所有请求做校验，直接返回401
• 配置更新后未重启实例：新配置没有被运行中的实例加载，仍沿用旧的权限规则
• 调用路径不符合要求：误使用需要密钥的admin级别路径，或者请求中多余携带了权限校验参数

分步排查解决方法 #

1. 校验镜像内的实际配置 #

进入Azure门户对应Function App的「控制台」或「高级工具(Kudu)」，执行命令查看对应函数目录下的配置文件：

cat <你的函数名称>/function.json

若返回的配置中authLevel不是anonymous，重新构建Docker镜像，确认Dockerfile中存在将本地function.json复制到镜像/home/site/wwwroot/<函数名称>目录的逻辑，重新发布镜像即可。

2. 检查Function App全局身份验证设置 #

进入Azure门户Function App的「设置」-「身份验证」页面，确认是否开启了身份验证功能。如果已开启且业务需要开放匿名访问，可以关闭该功能；若需要保留全局验证，可以添加规则跳过当前函数的身份校验。

3. 重启Function App实例 #

重新部署或修改配置后，在Function App概览页点击「重启」按钮，等待实例完全重启后再测试调用。

4. 确认调用路径正确性 #

标准匿名调用路径格式为：https://<你的Function App名称>.azurewebsites.net/api/<你的函数名称>，不要携带/admin路径段，也不要在query参数中额外携带code字段，避免触发多余的权限校验。

内容的提问来源于stack exchange，提问作者Amit Raz