在.NET Core中用共享密钥操作Azure Blob存储遇公共访问禁止异常

你遇到的公共访问禁止异常和授权逻辑无关，问题出在两个错误点：

• 你在创建容器时传入了PublicAccessType.Blob参数，要求将容器设置为Blob级公共访问，这和存储账户全局禁用公共访问的配置直接冲突，服务端会直接拒绝该操作。
• 你手动实现的SharedKey签名逻辑属于完全冗余的重复造轮子，当前使用的官方Azure.Storage.Blobs SDK会在初始化时自动处理所有请求的授权签名，不需要手动注入自定义请求头。

1. 修正容器创建的错误参数 #

将GetContainerClient方法中的公共访问配置从PublicAccessType.Blob改为PublicAccessType.None，匹配全局禁用公共访问的安全策略：

private BlobContainerClient GetContainerClient(string blobContainerName)
{
     var containerClient = this.blobServiceClient.GetBlobContainerClient(blobContainerName);
     // 改为私有访问，匹配存储账户全局禁公共访问的配置
     containerClient.CreateIfNotExists(PublicAccessType.None);
     return containerClient;
}

注意：账户级别的公共访问禁用配置优先级最高，任何尝试设置容器/Blob公共访问的操作都会被服务端拒绝，这也是之前异常的直接触发点。

2. 删除所有手动实现的授权逻辑 #

完全移除你写的GenerateSharedAccessKeyRequestHeader、AuthorizationHeader两个方法，以及对应的HttpWebRequest调用代码。
你当前注册的BlobServiceClient是通过包含共享密钥的连接字符串初始化的，SDK内部已经内置了完整的SharedKey授权处理管道：

• 自动为每个请求计算符合规范的签名字符串
• 自动添加x-ms-date、x-ms-version、Authorization等必填请求头
• 自动处理内容长度、内容类型、资源路径等签名所需的参数拼接
  你手动实现的签名逻辑存在版本过旧、字符串拼接格式易出错的问题，就算强行注入也大概率会返回403授权失败。

3. 验证连接字符串配置 #

确认配置项AzureBlobStorage是完整的共享密钥模式连接字符串，格式如下（替换为你自己的账户信息）：

DefaultEndpointsProtocol=https;AccountName=你的存储账户名;AccountKey=你的存储账户主密钥;EndpointSuffix=core.windows.net

不要使用带SAS令牌的连接字符串，也不要只配置BlobEndpoint不带AccountKey。

完成上述修改后，你现有的所有业务方法（UploadBlobAsync、GetBlobAsync、ListBlobsAsync、DeleteBlobAsync）不需要做任何额外修改，即可正常运行：

• 容器会自动创建为私有模式，符合存储账户的安全配置
• 所有请求会由SDK自动附加正确的共享密钥授权头，不需要手动处理
• 上传、下载、列表查询、删除操作都会走私有容器的授权访问路径，不会触发公共访问限制错误

如果后续需要给未授权的外部用户提供临时访问Blob的链接，再通过SDK的GenerateSasUri方法生成带权限的SAS即可。当前后端服务操作自有存储账户的场景下，使用共享密钥授权完全由SDK托管，不需要手动实现签名逻辑。

内容的提问来源于stack exchange，提问作者Ray