Azure Table SAS令牌在PowerShell REST调用中授权失败问题咨询

你遇到的问题核心在于SAS令牌不能直接放到Authorization请求头里——Azure Tables REST API对SAS的授权方式和Account Key签名是完全不同的，下面给你详细讲正确的做法：

1. SAS令牌的正确传递方式 #

Azure Tables接受SAS令牌作为URL查询参数，而非Authorization头。你只需要把SAS令牌直接附加到请求URL的末尾即可，不需要在Headers里设置Authorization字段。

举个PowerShell的实际示例：

# 替换成你的存储账户、表名和SAS令牌
$storageAccountName = "your-storage-account"
$tableName = "test-table"
# 注意SAS令牌不要带开头的"?"符号
$sasToken = "sr=t&sig=abc123...&se=2024-12-31T23:59:59Z&sp=raud"

# 构造完整请求URL
$requestUrl = "https://$storageAccountName.table.core.windows.net/$tableName?$sasToken"

# 发起GET请求（这里用nometadata简化返回结果）
$response = Invoke-RestMethod -Uri $requestUrl -Method Get -Headers @{
    "Accept" = "application/json;odata=nometadata"
}

$response

2. 为什么Authorization头会报错？ #

Azure Tables的Authorization头是专门为存储账户密钥HMAC签名设计的，格式为 SharedKey <account-name>:<generated-signature>。而SAS令牌本身已经包含了权限、签名和有效期信息，不需要再通过Authorization头传递，直接作为URL参数就能完成授权验证。

3. 排查SAS令牌的常见问题 #

如果按照上面的方式还是报错，检查这几点：

• 权限匹配：确保SAS的sp参数包含你需要的操作权限（比如读操作需要r，写操作需要w）
• 资源范围：如果是Account SAS，sr参数必须设为t（代表Table服务）；如果是Table SAS，要确保生成时指定了正确的表资源
• 有效期：检查se参数的过期时间，确保当前时间在令牌有效期内
• 令牌格式：不要在SAS令牌前加?，因为我们已经在URL里手动加了这个分隔符

4. 特殊场景：无法在URL中传递SAS？ #

如果你的环境限制了URL查询参数（比如某些代理规则），官方其实没有支持将SAS放到请求头的标准方式。这种情况下，你可能需要退回到使用存储账户密钥生成Authorization签名的方式，但这和你想用SAS的需求不符，所以优先推荐URL参数的标准方案。

内容的提问来源于stack exchange，提问作者Jason Shave