如何限制仅Blob Storage静态网站可调用指定Azure Functions？

你的需求完全可以实现，以下是几种不同安全等级、不同开发成本的落地方案：

• CORS 配置（最轻量方案，适合中等安全要求的公开网页场景）
  直接在Azure门户的函数App配置页面找到CORS设置项，将你Blob Storage静态网页的域名（若有绑定自定义域名也需一并加入）添加到允许的Origin列表，同时移除默认的*通配符配置即可。配置生效后浏览器会自动对跨域请求做Origin校验，非允许域名发起的函数调用会直接被浏览器拦截，无需修改任何函数代码。

  注意：该方案仅为浏览器层面的防护，恶意请求若手动伪造Origin头可绕过，适合普通公开站点的基础防护。

• 服务端请求头校验（中等安全方案，无额外成本）
  在需要限制访问的函数处理逻辑的最开头，手动读取HTTP请求的Origin或Referer头字段，和你预设的允许域名白名单做比对，校验不通过直接返回403 Forbidden状态码即可。该校验发生在函数服务端，比纯CORS防护更可靠，能拦截绝大多数未特意伪造请求头的恶意调用，仅需少量代码修改即可落地。
• 身份令牌校验（高安全方案，适合权限控制要求高的场景）
  为静态网页接入身份认证能力，用户访问网页时先完成身份验证获取合法JWT令牌，调用函数时在请求头中携带该令牌，函数侧校验令牌的签名、签发方等核心信息，校验通过才执行后续业务逻辑。该方案可以完全避免非法来源的调用，哪怕对方伪造请求头也无法通过校验。

内容的提问来源于stack exchange，提问作者HardRock