Azure App Service应用中如何让Azure Blob存储图片仅对授权用户开放？

这个问题很典型，我之前帮不少开发者解决过类似的Blob访问控制需求。核心思路就是彻底关闭Blob的公开访问，然后通过应用层来管控用户的访问权限，下面给你几个可行的方案，你可以根据自己的业务场景选择：

这是最常用的方案，既能保持Blob私有，又能给授权用户临时的访问权限：

• 操作步骤：
  1. 确保你的Blob容器设置为私有（默认就是私有，千万别改成公开）。
  2. 当应用内的授权用户请求图片时，你的后端先完成用户身份验证（比如校验JWT令牌、核对用户权限）。
  3. 验证通过后，用Azure SDK生成一个仅限当前Blob、只读、短有效期的SAS令牌。比如可以设置5分钟过期，只授予r（读）权限，并且绑定到特定的Blob路径。
  4. 把生成的带SAS令牌的Blob URL返回给前端，前端用这个URL加载图片即可。
• 优势：不需要额外的中转服务器负载，用户拿到的URL很快就会失效，就算泄露也不会有长期风险。
• 注意事项：SAS令牌的有效期别设太长，权限要最小化（只给读权限），同时要确保后端的SAS生成逻辑只有授权用户能触发。

这个方案更彻底，用户永远拿不到Blob的真实URL：

• 操作步骤：
  1. Blob容器保持私有，仅允许你的应用服务（比如通过托管标识）访问。
  2. 前端请求图片时，调用你的应用API（比如/api/images/{imageId}）。
  3. 后端先验证用户的身份和权限，确认用户有权查看这张图片。
  4. 后端用托管标识或者存储账户密钥从Blob下载图片，然后把图片内容流式返回给前端。
• 优势：完全隔离Blob的访问路径，用户接触不到任何Blob相关的信息，安全性最高。
• 劣势：会增加应用服务器的带宽和CPU负载，尤其是图片量大、访问频繁的场景，需要考虑服务器的扩容成本。

如果你的应用已经在用Azure AD做用户身份验证，可以尝试这个方案：

• 操作步骤：
  1. 给你的应用服务启用系统托管标识，然后给这个托管标识分配Storage Blob Data Reader角色（仅限需要访问的目标容器）。
  2. 当用户请求图片时，后端先验证用户的Azure AD令牌，确认其访问权限。
  3. 后端用托管标识直接访问Blob并返回给前端；如果是单页应用，也可以让前端获取用户的Azure AD令牌直接请求Blob，但这种方式需要给用户分配Blob的RBAC权限，存在用户用其他工具访问Blob的风险，因此更推荐后端中转的方式。

• 绝对不要把Blob容器设置为公开访问，这是最基本的安全底线。
• 不管用哪个方案，应用的用户身份验证一定要严谨，比如用JWT令牌、Azure AD OAuth2等，确保只有授权用户能触发图片访问逻辑。
• 优先使用托管标识代替存储账户密钥，避免密钥泄露的风险，托管标识的权限可以通过RBAC精细控制。
• 如果用SAS，建议使用用户委派SAS（而非服务SAS），这样可以基于用户的Azure AD身份生成SAS，权限控制更精准。

内容的提问来源于stack exchange，提问作者Kunal