能否检查Azure存储SAS有效期？如何从SAS串提取过期时间？

核心判断逻辑 #

你碰到的这类SAS能不能直接解析过期时间、能不能完成有效期校验，完全取决于SAS的生成类型，没有通用结论：

• 即时生成的临时SAS（Ad-Hoc SAS）：这类SAS的所有配置参数都会明文放在查询字符串里，其中se字段就是标准UTC格式的过期时间值，直接把查询字符串拆成键值对读取就能拿到过期时间，不需要调用任何接口。
• 带si参数的策略绑定型SAS：也就是你示例中的?sv=2018-03-28&si=mypolicy&tn=mytable&sig=ABC...这类，其中的&是HTML转义后的参数分隔符，实际解析时需要先还原为&再拆分键值对。这类SAS本身完全不包含过期、生效时间字段，si只是服务端存储访问策略的名称，所有时间配置都存在存储账户侧的策略记录里，光靠字符串解析是绝对拿不到对应过期时间的。

有效期校验的可实现方式 #

分权限场景说明可落地的校验路径：

• 当你持有对应存储账户的管理权限（可获取存储账户访问密钥、具备管理面操作权限）：
  • 对即时SAS：直接本地解析se字段对比当前时间就能完成粗校验，更准确的方式是用SAS发一次最小权限的测试请求，由Azure存储服务返回的错误信息直接判断是否过期。
  • 对策略绑定型SAS：通过管理接口拉取对应资源（表/Blob/容器/文件共享）下的所有存储访问策略列表，找到和SAS里si值匹配的策略条目，读取策略上配置的过期时间字段，就能计算出剩余有效期。
• 当你仅持有SAS字符串、没有存储账户管理权限：
  • 对策略绑定型SAS：你无法读取服务端的策略配置，本地不可能算出具体的过期时间点，唯一能判断的是当前瞬时状态：用SAS发一次合法的访问请求，根据返回码判断此刻是否可用，无法预知后续的有效期——毕竟存储账户的管理员可以随时修改策略的过期时间、甚至直接撤销策略。

注意常见误区：哪怕是能直接解析到se字段的即时SAS，本地算出来的有效期也不代表服务端的最终状态；任何绑定服务端策略的SAS的实际有效期，都可以被管理员在不修改SAS字符串的前提下随时调整。

内容的提问来源于stack exchange，提问作者tmaj