Azure Blob容器SAS URI授权失败问题求助（ASP.NET Core环境）

看起来你遇到了Azure Blob存储SAS URI的签名认证错误，我之前在使用WindowsAzure.Storage 9.x版本时也碰到过类似问题，给你梳理几个最可能的原因和解决办法：

1. 检查SAS权限是否足够 #

上传文件需要至少Write或Create权限，如果你生成SAS时只给了Read权限，肯定会认证失败。确保权限设置正确：

var sasPolicy = new SharedAccessBlobPolicy
{
    // 按需组合权限，上传至少需要Write/Create
    Permissions = SharedAccessBlobPermissions.Create | SharedAccessBlobPermissions.Write,
    // ... 其他参数
};

2. 避免时钟漂移导致的有效期问题 #

Azure存储服务用UTC时间验证SAS的有效期，如果你用了本地时间（DateTime.Now）或者StartTime设置得太近，可能因为客户端和服务器时钟偏差导致签名失效。建议把StartTime设为当前UTC时间减5分钟：

sasPolicy.SharedAccessStartTime = DateTime.UtcNow.AddMinutes(-5);
sasPolicy.SharedAccessExpiryTime = DateTime.UtcNow.AddHours(24); // 合理的过期时间

3. 确认存储账户连接字符串正确 #

检查你的mysecrets连接字符串，确保账户名和密钥没有拼写错误，也没有使用已经过期/轮换过的存储账户密钥。可以在Azure门户里重新复制最新的连接字符串试试。

4. 确保SAS资源类型匹配 #

你是要允许上传到整个容器，所以应该生成容器级别的SAS，而不是单个Blob的SAS。确认代码里是对容器对象调用GetSharedAccessSignature：

CloudBlobContainer container = blobClient.GetContainerReference("your-container-name");
string sasToken = container.GetSharedAccessSignature(sasPolicy); // 正确：容器级SAS
// 不要用 blob.GetSharedAccessSignature(...)，那是针对单个Blob的

5. 第三方应用不要额外添加Authorization头 #

使用SAS URI上传时，第三方应用只需要直接使用带SAS令牌的完整URL发起请求，不要手动添加Authorization请求头。如果同时存在SAS和自定义Authorization头，Azure会拒绝请求。

完整的正确示例代码 #

这里给你一个基于WindowsAzure.Storage 9.1.0的容器SAS生成完整示例：

using Microsoft.WindowsAzure.Storage;
using Microsoft.WindowsAzure.Storage.Blob;
using System;

public class SasGenerator
{
    public string GetContainerUploadSasUri(string storageConnectionString, string containerName)
    {
        // 解析存储账户连接字符串
        CloudStorageAccount storageAccount = CloudStorageAccount.Parse(storageConnectionString);
        CloudBlobClient blobClient = storageAccount.CreateCloudBlobClient();
        CloudBlobContainer container = blobClient.GetContainerReference(containerName);

        // 确保容器存在（如果需要的话）
        container.CreateIfNotExists().Wait();

        // 配置SAS策略
        var sasPolicy = new SharedAccessBlobPolicy
        {
            Permissions = SharedAccessBlobPermissions.Create | SharedAccessBlobPermissions.Write,
            SharedAccessStartTime = DateTime.UtcNow.AddMinutes(-5),
            SharedAccessExpiryTime = DateTime.UtcNow.AddHours(24)
        };

        // 生成SAS令牌并拼接完整URI
        string sasToken = container.GetSharedAccessSignature(sasPolicy);
        return $"{container.Uri.AbsoluteUri}{sasToken}";
    }
}

额外注意事项 #

• 不要硬编码存储连接字符串，用ASP.NET Core的配置系统（比如appsettings.json）来管理，配合Secret Manager避免密钥泄露。
• 容器可以保持私有访问级别，不需要设置公共访问，用SAS就能安全地授予临时上传权限。
• 测试时可以用Postman直接上传文件到生成的SAS URI，排除第三方应用的代码问题。

内容的提问来源于stack exchange，提问作者BennyM