按Azure文档调用REST API获取Table ACL失败，请求排查问题

我正在按照Azure REST文档中的《GET ACL Table》和《Authentication for the Azure Storage Services》实现操作，下面是我的Node.js代码片段：

//Input your Storage Account and access-key associated to it.
const yourStorageAccountName = '';
const accessKeyStorageAccount = '';
const Client = require('node-rest-client').Client;
const crypto = require("crypto");

async function getTableAcl() {
    let now = new Date();
    let nowUTC = now.toUTCString();
    let contentType = "application/json"
    // construct input value
    let stringToSign = `GET\n\n\n${nowUTC}\n/${yourStorageAccountName}/tablename\ncomp:acl`;
    let accesskey = accessKeyStorageAccount;
    // create base64 encoded signature
    let key = new Buffer(accesskey, "base64");
    let hmac = crypto.createHmac("sha256", key);
    hmac.update(stringToSign);
    let sig = hmac.digest("base64");

    console.log("SIGNATURE : " + sig);
    console.log("nowutc : " + nowUTC);

    let args = {
        headers: {
            "Authorization": "SharedKey " + yourStorageAccountName + ":" + sig,
            "Date": nowUTC,
            "x-ms-version": "2015-12-11"
        }
    };

    let restClient = new Client();
    restClient.get(`https://${yourStorageAccountName}.table.core.windows.net/tablename?comp=acl`, args, function (data, response) {
        console.log(JSON.stringify(data));
        //console.log(response);
    });
}

getTableAcl()

问题在于，Azure Table ACL文档里没提到Content-Type，但授权头部分要求包含这个字段。我在stringToSign里把Content-Type留空了，而且请求里也没加Content-Type头，但请求还是没法正常工作。请问我哪里漏了？

问题分析与解决方案 #

作为经常和Azure Storage REST API打交道的开发者，我一眼就看到了几个关键问题：

1. 签名字符串遗漏了x-ms-*请求头

Azure Storage的SharedKey签名规则要求，所有以x-ms-开头的请求头必须加入到签名字符串的CanonicalizedHeaders部分。你当前的代码里请求头包含了x-ms-version，但完全没把它加到stringToSign里，这是导致签名验证失败的核心原因。

2. Content-Type的处理逻辑错误

虽然GET请求看似不需要Content-Type，但Table服务的API要求你显式指定符合OData规范的Content-Type值（比如application/json;odata=nometadata），并且要保证签名字符串中的值和请求头中的值完全一致——要么都留空，要么都填正确的值，不能一边空一边不填。

3. 签名字符串格式不符合Table服务要求

Table服务的stringToSign完整格式应该是：

VERB\n
Content-MD5\n
Content-Type\n
Date\n
CanonicalizedHeaders\n
CanonicalizedResource

你之前的代码跳过了CanonicalizedHeaders部分，导致签名结构不完整。

修改后的可运行代码示例 #

下面是修复后的代码，我已经调整了签名构造逻辑并补充了必要的请求头：

//Input your Storage Account and access-key associated to it.
const yourStorageAccountName = '';
const accessKeyStorageAccount = '';
const Client = require('node-rest-client').Client;
const crypto = require("crypto");

async function getTableAcl() {
    let now = new Date();
    let nowUTC = now.toUTCString();
    const contentType = "application/json;odata=nometadata"; // 符合OData规范的Content-Type
    const xMsVersion = "2015-12-11";

    // 构造CanonicalizedHeaders：处理x-ms开头的请求头，需小写并按名称排序
    const canonicalizedHeaders = `x-ms-version:${xMsVersion}\n`;

    // 构造完整的stringToSign
    let stringToSign = `GET\n\n${contentType}\n${nowUTC}\n${canonicalizedHeaders}/${yourStorageAccountName}/tablename\ncomp:acl`;

    let accesskey = accessKeyStorageAccount;
    // 生成签名（建议用Buffer.from替代new Buffer，更符合Node.js规范）
    let key = Buffer.from(accesskey, "base64");
    let hmac = crypto.createHmac("sha256", key);
    hmac.update(stringToSign);
    let sig = hmac.digest("base64");

    console.log("SIGNATURE : " + sig);
    console.log("nowutc : " + nowUTC);

    let args = {
        headers: {
            "Authorization": "SharedKey " + yourStorageAccountName + ":" + sig,
            "Date": nowUTC,
            "x-ms-version": xMsVersion,
            "Content-Type": contentType // 请求头必须包含和签名一致的Content-Type
        }
    };

    let restClient = new Client();
    restClient.get(`https://${yourStorageAccountName}.table.core.windows.net/tablename?comp=acl`, args, function (data, response) {
        console.log(JSON.stringify(data));
        //console.log(response);
    });
}

getTableAcl()

额外注意事项 #

• 确认你的存储账户密钥没有复制错误（密钥是base64编码的，不要包含多余空格或换行）；
• 检查存储账户的防火墙设置，确保当前请求IP被允许访问；
• 可以尝试更新x-ms-version到较新的版本（比如2020-08-04），部分旧版本可能存在兼容性问题。

内容的提问来源于stack exchange，提问作者kernalnt