Azure Blob静态网站文件安全防护及联系表单实现咨询

你已经成功在Azure Blob上搭建了静态网站，但遇到了两个静态托管场景下的常见问题——PHP文件可被下载，以及无法安全实现联系表单的邮件发送。下面是针对这两个问题的具体解决方案：

一、阻止PHP文件被访问 #

Azure Blob静态网站本质是静态文件托管，不会解析执行PHP代码，所以只要知道文件路径的用户就能直接下载。要解决这个问题，推荐以下几种实用方案：

1. 将PHP文件移出公共容器 #

最直接有效的办法：把所有PHP文件从docs这个公共访问的容器中，转移到一个私有容器内。私有容器默认拒绝所有匿名访问，只有通过SAS令牌或IAM授权的请求才能获取文件，这样即使有人猜到文件路径，也无法下载。

2. 用Azure CDN规则引擎拦截PHP请求 #

如果需要保留PHP文件在docs容器（比如有其他依赖关联），可以给Blob存储配置Azure CDN，然后在CDN的规则引擎中创建拦截规则：

• 匹配条件：设置为请求URL包含.php后缀
• 执行动作：返回403 Forbidden状态码
  这样所有访问PHP文件的请求都会被CDN直接拦截，根本不会到达Blob存储层面。

3. 给单个PHP文件设置私有权限 #

针对零散的PHP文件，你可以通过Azure Portal、Storage Explorer或CLI单独修改Blob的访问权限：

• 在Storage Explorer中找到目标PHP文件，右键选择「设置权限」，将公共访问级别设为私有（无匿名访问）
• 批量操作的话用Azure CLI更高效：

az storage blob set-permission --container-name docs --name path/to/target.php --account-name myblob --public-access off

二、无密钥存储的联系表单实现 #

Blob静态网站没有后端运行环境，直接在前端代码中写入API密钥会导致敏感信息暴露，所以必须借助中间层服务来处理表单提交与邮件发送，同时安全存储密钥。推荐两个无服务器方案：

1. Azure Functions + Azure Key Vault组合 #

• 步骤1：创建一个HTTP触发的Azure Function，编写代码解析表单提交的POST数据（比如姓名、邮箱、留言内容）
• 步骤2：把发送邮件的API密钥（比如SendGrid、Office 365的授权密钥）存储到Azure Key Vault中
• 步骤3：给Azure Function配置托管标识，授予它读取Key Vault密钥的权限，让Function可以安全获取密钥，无需硬编码
• 步骤4：在静态网站的表单中，将提交地址指向这个Azure Function的URL，前端只负责把表单数据POST到Function，由后端调用邮件API完成发送

2. 使用Azure Logic Apps #

• 步骤1：创建一个Logic App，选择「当收到HTTP请求时」作为触发条件，设置匹配表单字段的JSON schema
• 步骤2：添加发送邮件的动作（比如Office 365 Outlook - 发送电子邮件或SendGrid - 发送邮件），配置邮件服务连接时，密钥会被Logic Apps自动安全存储，不会暴露给前端
• 步骤3：把Logic App生成的HTTP端点作为表单的提交地址，前端提交表单后，Logic App会自动完成数据处理与邮件发送

这两个方案都不需要在Blob存储中存放任何敏感密钥，所有机密信息都在Azure后端服务中安全管理，完全符合你的需求。

内容的提问来源于stack exchange，提问作者Kirsten