Android连接Azure Blob Storage安全接入及SAS令牌获取问题咨询

嘿，你的思路完全没问题——用Azure Function作为中间层发放SAS令牌是手机端这种客户端场景下的最优解，毕竟直接在手机里存存储账户密钥等于裸奔，绝对不能干。我来帮你把这个方案的关键细节捋清楚，确保安全又好用。

首先，你的Function要承担“安全令牌分发器”的角色，核心是从Azure应用配置里读取存储连接字符串（绝对不能硬编码！），然后生成权限受限、有效期可控的SAS令牌。

这里给你一个C#版的Function示例，直接就能用：

using Azure.Storage.Blobs;
using Azure.Storage.Sas;
using Microsoft.AspNetCore.Http;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Azure.WebJobs;
using Microsoft.Azure.WebJobs.Extensions.Http;
using Microsoft.Extensions.Logging;
using System;
using System.Threading.Tasks;

public static class GetImageBlobSas
{
    [FunctionName("GetImageBlobSas")]
    public static async Task<IActionResult> Run(
        [HttpTrigger(AuthorizationLevel.Function, "post", Route = null)] HttpRequest req,
        ILogger log)
    {
        log.LogInformation("Received SAS token request from mobile client.");

        // 从Function的应用设置中读取存储连接字符串（Azure门户配置）
        var storageConnString = Environment.GetEnvironmentVariable("BlobStorage_ConnectionString");
        if (string.IsNullOrEmpty(storageConnString))
        {
            return new BadRequestObjectResult("Missing storage connection string in app settings.");
        }

        const string imageContainer = "mobile-image-collection"; // 替换成你的容器名
        var containerClient = new BlobContainerClient(storageConnString, imageContainer);

        // 先验证容器是否存在，避免无效请求
        if (!await containerClient.ExistsAsync())
        {
            return new NotFoundObjectResult($"Container {imageContainer} does not exist.");
        }

        // 配置SAS令牌的权限和有效期
        var sasBuilder = new BlobSasBuilder()
        {
            BlobContainerName = imageContainer,
            Resource = "c", // "c"代表容器级SAS，若要限制到单个文件可设为"b"
            ExpiresOn = DateTimeOffset.UtcNow.AddMinutes(30) // 30分钟有效期，可根据业务调整
        };

        // 只赋予必要权限：比如上传(w)+下载(r)+列表(l)，不需要的权限别加
        sasBuilder.SetPermissions(BlobContainerSasPermissions.Write | BlobContainerSasPermissions.Read | BlobContainerSasPermissions.List);

        // 生成SAS令牌（带?前缀，直接拼接容器URI就能用）
        var sasToken = containerClient.GenerateSasUri(sasBuilder).Query;

        // 返回给客户端容器URI和令牌
        return new OkObjectResult(new 
        { 
            ContainerUri = containerClient.Uri.AbsoluteUri, 
            SasToken = sasToken 
        });
    }
}

配置注意点：

• 把存储连接字符串放到Function的应用设置里（Azure门户→你的Function→配置→应用程序设置），键名就用BlobStorage_ConnectionString。
• 这里用AuthorizationLevel.Function，意味着调用Function需要携带Function的API密钥——后面会说怎么处理客户端的调用安全。

手机端要做的就是安全调用Function获取令牌，然后用令牌操作Blob，重点是全程HTTPS和防滥用。

1. 调用Function的安全处理 #

如果你的App是面向完全匿名用户：

• 别把Function的API密钥硬编码到客户端APK里！可以把密钥加密后存在Android Keystore/iOS Keychain里，或者改用AuthorizationLevel.Anonymous，但一定要加防滥用措施：
  • 在Azure门户给App Service（Function部署的宿主）开启速率限制（网络→速率限制），比如每分钟最多10次请求，防止机器人刷令牌。
  • 启用App Service的认知服务保护，给匿名请求加CAPTCHA验证，过滤恶意请求。
• 调用时必须用HTTPS，绝对不能用HTTP，防止令牌被窃听。

如果你的App需要用户登录，可以集成Azure AD B2C，让用户先登录，Function验证用户的JWT令牌后再发放SAS，这种方式安全性更高。

2. 客户端Blob操作示例（Android Kotlin） #

用Azure Storage Blob SDK直接操作，代码很简洁：

import com.azure.storage.blob.BlobContainerClient
import com.azure.storage.blob.BlobClientBuilder
import java.io.File

// 从Function接口获取的返回值
data class SasTokenResponse(val ContainerUri: String, val SasToken: String)

// 初始化容器客户端
fun getBlobContainerClient(response: SasTokenResponse): BlobContainerClient {
    return BlobClientBuilder()
        .endpoint(response.ContainerUri)
        .sasToken(response.SasToken)
        .buildContainerClient()
}

// 上传图片到Blob
fun uploadImage(containerClient: BlobContainerClient, imageFile: File, blobName: String) {
    val blobClient = containerClient.getBlobClient(blobName)
    blobClient.uploadFromFile(imageFile.path)
}

// 下载图片到本地
fun downloadImage(containerClient: BlobContainerClient, blobName: String, savePath: String) {
    val blobClient = containerClient.getBlobClient(blobName)
    blobClient.downloadToFile(savePath)
}

• 最小权限原则：SAS令牌只给必要的权限，比如用户只需要上传图片，就只设置BlobContainerSasPermissions.Write，别给Full权限。
• 短有效期：令牌有效期别太长，比如30分钟到1小时，过期了让客户端重新请求，降低泄露风险。
• 日志与监控：给Function开启Application Insights，监控请求次数、错误率，及时发现异常流量。
• Blob存储加密：确保你的Blob存储开启了服务端加密（默认是开启的），如果有敏感图片，可以开启客户端加密。

如果需要让用户只能访问自己上传的图片，可以在Blob容器里为每个用户创建单独的子目录，生成SAS令牌时限制到该目录：

// 假设从客户端请求中获取用户ID（比如登录后的JWT解析得到）
string userId = req.Headers["X-User-Id"].ToString();
sasBuilder.BlobName = $"{userId}/"; // 限制SAS只能访问该用户目录下的Blob
sasBuilder.SetPermissions(BlobContainerSasPermissions.Write | BlobContainerSasPermissions.Read);

这样每个用户只能操作自己目录下的图片，安全性进一步提升。

内容的提问来源于stack exchange，提问作者EddIb