使用cpprest SDK访问Azure存储服务，列Blob时返回403错误求排查

Hey there! 403 Forbidden 是Azure Blob存储调用里非常常见的问题，结合cpprest SDK的使用场景，咱们一步步拆解可能的问题点，同时给你对应的修正建议：

1. 身份验证环节大概率出了问题 #

cpprest SDK支持多种Azure存储认证方式，403最常见的原因就是认证信息错误或权限不足：

• 账户密钥认证：要确保你用的是存储账户的主/次访问密钥（不是账户名称），并且连接字符串的格式完全正确。cpprest的cloud_storage_account::parse方法会处理密钥里的特殊字符（比如+/=），不需要手动转义：

  // 正确的账户密钥初始化示例
  utility::string_t account_name = U("your-storage-account-name");
  utility::string_t account_key = U("your-primary-access-key");
  azure::storage::cloud_storage_account storage_account = 
      azure::storage::cloud_storage_account::parse(
          U("DefaultEndpointsProtocol=https;AccountName=") + account_name + 
          U(";AccountKey=") + account_key + U(";EndpointSuffix=core.windows.net")
      );
  

• SAS令牌认证：如果用SAS令牌，必须确保令牌包含list权限，且当前时间在令牌的有效期内。构造容器时要传入完整的SAS URL：

  utility::string_t container_sas_url = U("https://youraccount.blob.core.windows.net/yourcontainer?sv=2023-11-03&ss=b&srt=sco&sp=rl&se=2024-12-31T23:59:59Z&st=2024-01-01T00:00:00Z&spr=https&sig=xxxxxx");
  azure::storage::cloud_blob_container container = 
      azure::storage::cloud_blob_client::from_sas_uri(container_sas_url).get_container_reference(U("yourcontainer"));
  

• Azure AD令牌认证：如果用AD身份验证，要确保令牌的受众是https://storage.azure.com，并且对应的服务主体拥有Storage Blob Data Reader或更高权限。设置令牌到客户端的代码如下：

  azure::storage::cloud_blob_client blob_client(U("https://youraccount.blob.core.windows.net/"));
  blob_client.set_authentication_token(U("your-ad-access-token"));
  

2. 容器/Blob路径是否合规 #

• 容器名称必须符合Azure规则：只能包含小写字母、数字和短横线，长度在3-63字符之间，且不能以短横线开头或结尾。
• 如果是调用根路径的list接口，需要账户级别的list权限，建议先测试指定具体容器的list操作，缩小排查范围。

3. 协议和SDK版本问题 #

• 必须使用HTTPS协议，Azure存储现在默认拒绝HTTP请求，所以连接字符串里一定要指定DefaultEndpointsProtocol=https。
• 检查cpprest SDK的版本，旧版本可能存在签名算法兼容问题（Azure存储已淘汰部分旧签名算法），建议升级到2.10.x及以上的稳定版本。

4. 存储账户的网络配置限制 #

• 检查存储账户的防火墙设置：是否允许你的客户端IP地址访问，测试阶段可以临时开启“允许所有网络”来排除这个因素。
• 如果是在Azure内部环境，检查是否启用了服务端点或私有链接，导致外部请求被拦截。

完整可参考的列Blob代码示例 #

你可以对比自己的代码，看看哪里有差异：

#include <cpprest/http_client.h>
#include <cpprest/filestream.h>
#include <azure/storage/blobs.h>

using namespace azure::storage;
using namespace utility;

int main() {
    try {
        // 初始化存储账户
        string_t account_name = U("your-storage-account-name");
        string_t account_key = U("your-primary-access-key");
        cloud_storage_account storage_account = cloud_storage_account::parse(
            U("DefaultEndpointsProtocol=https;AccountName=") + account_name +
            U(";AccountKey=") + account_key + U(";EndpointSuffix=core.windows.net")
        );

        // 获取Blob客户端和容器引用
        cloud_blob_client blob_client = storage_account.create_cloud_blob_client();
        cloud_blob_container container = blob_client.get_container_reference(U("your-container-name"));

        // 列出容器内的所有Blob
        list_blob_item_iterator it = container.list_blobs();
        while (it != list_blob_item_iterator()) {
            if (it->is_blob()) {
                cloud_blob blob = it->as_blob();
                ucout << U("Blob名称: ") << blob.name() << std::endl;
            }
            ++it;
        }
    }
    catch (const storage_exception& e) {
        ucout << U("错误码: ") << e.error_code() << std::endl;
        ucout << U("错误信息: ") << e.what() << std::endl;
        return 1;
    }
    return 0;
}

额外排查小技巧 #

• 开启cpprest的调试日志，查看完整的请求和响应头，能帮你快速定位签名错误：

  // 开启 verbose 级别的日志
  azure::storage::operation_context context;
  context.set_log_level(azure::storage::log_level::verbose);
  // 调用list_blobs时传入context
  auto it = container.list_blobs(blob_listing_details(), U(""), false, context);
  

• 先用Azure Storage Explorer测试是否能正常列出Blob，如果Explorer能访问但代码不行，那问题肯定出在代码的认证或参数配置上。

内容的提问来源于stack exchange，提问作者dodo42