使用共享访问签名通过curl/httr下载Azure Blob失败

安全阿岳

2026-5-28

解决Azure Blob SAS URL在curl/httr中返回400错误但download.file正常的问题

我之前也碰到过一模一样的情况！这种差异通常是因为curl和httr的默认请求行为和R基础包的download.file不一样，而Azure Blob存储对请求细节的要求又比较严格。下面是几个亲测有效的解决方向：

检查URL编码问题
SAS签名里的特殊字符（比如签名中的特殊符号）可能被curl/httr二次编码，导致Azure无法识别。可以先对URL做解码处理：

decoded_url <- URLdecode("https://{account}.blob.core.windows.net/{store}/{file.zip}?sp=r&st=2018-05-19T00:00:00Z&se=2018-05-31T00:00:00Z&spr=https&sv=2017-07-29&sig={...}&sr=b")
curl::curl_download(decoded_url, destfile = "file.zip")

模拟download.file的请求头
download.file用的是非常简洁的请求头，而httr/curl默认会带上一些额外的头信息（比如自定义的User-Agent），部分Azure环境会拦截这类请求。你可以手动设置和基础包一致的请求头：
用httr的话：
```
library(httr)
resp <- GET("你的SAS URL", add_headers(`User-Agent` = "R (base)"))
writeBin(content(resp, "raw"), "file.zip")
```
用curl的话：
```
curl::curl_download("你的SAS URL", destfile = "file.zip",
                    httpheader = c("User-Agent" = "R (base)"))
```
我当时就是靠修改User-Agent解决的问题，这个方法的成功率很高。
更新curl相关依赖
旧版本的curl包或系统curl库可能对HTTPS协议的某些特性支持不足，导致请求被Azure拒绝。尝试更新curl包：
```
install.packages("curl")
```
如果是Linux/macOS用户，也可以更新系统级的curl库（比如用brew或apt-get）。
快速排除SAS参数问题
虽然download.file能正常下载，但还是可以快速确认下SAS参数：比如sr=b确保是Blob级权限、sp=r是只读权限，以及时间范围st/se是否在有效期内——不过既然基础包能用，这个可能性相对较小，但可以用来兜底排查。