无Azure存储权限时基于永久SAS生成带过期时间预签名URL的方案咨询

• 方案1：改造Azure账户管理代理，新增短期SAS生成接口
  该方案改动最小、安全性最高，无需调整现有权限边界，仅需在持有存储凭证的账户管理代理侧新增接口，允许调用方传入自定义过期时间、访问权限、资源范围等参数，代理直接使用存储账号凭证生成对应短期SAS令牌返回给后端，后端再下发给浏览器。生成的SAS完全符合自定义过期要求，不会继承原有永久SAS的属性。
• 方案2：为后端分配Azure AD权限，生成用户委托SAS
  无需修改账户管理代理逻辑，只需在Azure AD侧为后端服务身份授予对应Blob存储的存储Blob数据读取者等最小必要角色，后端可直接通过Azure AD身份验证生成用户委托SAS，有效期支持自定义（最长可达7天），全程不需要持有存储账户密钥、也不依赖现有永久SAS，完全满足自定义过期的安全要求。
• 方案3：接入CDN层做签名校验，隔离永久SAS
  为Azure Blob存储配置Azure CDN或自建CDN，将现有永久SAS配置为CDN的回源凭证，且限制该永久SAS仅允许CDN回源IP段访问。后端持有CDN侧的签名密钥，直接生成CDN维度的短期签名URL下发给浏览器，用户访问CDN URL时，CDN自行校验签名有效性和过期时间，校验通过后自动回源拉取Blob内容，既实现了大文件直传不经过后端，也不会向外暴露Blob的永久SAS地址。
• 方案4：临时兜底方案，叠加自建签名校验层
  若上述架构调整暂时无法落地，可先做两层安全加固：首先要求账户管理代理缩小现有永久SAS的权限范围，仅开放必要的读权限、限制可访问的容器/路径、绑定后端/CDN的固定出口IP；其次后端自行生成带过期时间和签名的自定义URL，搭配轻量API网关/无服务器函数层做请求校验，用户请求时先校验自定义签名是否有效、是否过期，校验通过后再返回永久SAS的Blob地址，同时建立永久SAS的定期轮换机制，降低泄露后的安全风险。

内容的提问来源于stack exchange，提问作者saurav