Azure Cosmos DB使用Resource Token连接失败问题求助

我之前也踩过类似的Resource Token连接Cosmos DB的坑，结合你描述的两种报错，咱们一步步拆解排查：

先分析两种报错的核心原因 #

1. Failed to parse the value '' as ResourceId. #

这个报错几乎肯定是权限对象的ResourceId为空导致的。你说能读取用户和权限，那大概率是在构造带权限的DocumentClient时，没有正确传递权限的ResourceId参数，或者读取权限时拿到的Permission对象里ResourceId字段是空的（比如创建权限时就没正确设置ResourceId）。

2. Insufficient permissions provided in the authorization header... #

这个报错的常见原因有几个：

• 权限的资源范围不匹配：比如你给的是数据库级别的权限，但实际操作的是容器（不过All权限应该覆盖下级，这个可能性低）；或者反过来，给了容器权限却操作数据库
• 权限的Action设置错误：比如误写成Read而不是All
• Resource Token已过期：默认Resource Token有效期是1小时，创建时可以手动指定更长的有效期
• Token传递错误：比如把用户的其他属性当成Token传进去了，或者用了错误的权限Token

分步解决步骤 #

第一步：确认权限的创建是否正确 #

先回到创建用户和权限的环节，确保这一步没出错：

• 用户必须创建在目标数据库下：路径格式是dbs/{你的DB名称}/users/{用户名}
• 权限的ResourceId必须是目标资源的RID（可以通过读取数据库/容器的SelfLink获取，比如数据库的SelfLink是dbs/{dbRID}，容器是dbs/{dbRID}/colls/{collRID}）
• 权限的Action必须是All，ResourceType要和ResourceId对应（比如数据库对应database，容器对应container）

第二步：正确获取Resource Token #

不要手动拼接Token，一定要通过Master Key的DocumentClient读取用户的权限列表，直接用返回的Permission对象的Token属性：

// 用Master Key初始化客户端
var masterClient = new DocumentClient(new Uri("你的Cosmos Endpoint"), "你的Master Key");

// 读取目标用户的权限列表
var userUri = UriFactory.CreateUserUri("你的DB名称", "你的用户名");
var permissionsFeed = await masterClient.ReadPermissionFeedAsync(userUri);

// 找到你创建的那个All权限
var allPermission = permissionsFeed.FirstOrDefault(p => p.Id == "你的权限ID");
if (allPermission == null)
{
    throw new Exception("未找到目标权限");
}

第三步：正确创建带Resource Token的DocumentClient #

用上面拿到的allPermission.Token来初始化新客户端，这是最稳妥的写法：

// 用Resource Token创建客户端
var tokenClient = new DocumentClient(new Uri("你的Cosmos Endpoint"), allPermission.Token);

// 打开连接
await tokenClient.OpenAsync();

排查你三种方式的可能问题 #

• 对于版本1和3的空ResourceId报错：检查你是不是手动构造了Permission对象，却没给ResourceId赋值；或者读取权限时，返回的Permission对象的ResourceId是空的（这说明创建权限时就没设置对）
• 对于版本2的权限不足报错：检查权限的ResourceId是不是对应了你要操作的资源；确认Token是从正确的权限对象里拿的；如果是刚创建的权限，等几秒再试（Cosmos的权限同步可能有延迟）

额外注意点 #

• Resource Token是和特定用户、特定资源绑定的，不能跨用户或跨资源使用
• 不要修改Token的任何内容，直接用Cosmos返回的原始值
• 如果需要长期有效的Token，创建Permission时可以指定ExpiryTime参数，最长可以设置到未来5年

内容的提问来源于stack exchange，提问作者dododo