如何调试Azure SQL数据库‘Login failed for user’错误及查找诊断日志？

一、诊断日志的存储位置 #

你配置的Azure诊断日志不会存储在Web App的Kudu文件系统中，具体位置取决于你在诊断设置里选择的目标：

• 存储账户：日志会保存在指定存储账户的Blob容器中，容器名称通常以insights-logs-开头（比如insights-logs-sqldatabaseconnectivity），可在Azure门户的存储账户→容器中找到，日志以JSON格式按日期分区存储。
• Log Analytics工作区：日志会流入指定的Log Analytics工作区，你可以通过查询AzureDiagnostics表来查看，示例Kusto查询：

  AzureDiagnostics
  | where Category == "SQLDatabaseConnectivity"
  | where ResultDescription contains "Login failed"
  

• 事件中心：日志会发送到指定的事件中心，需借助事件中心消费工具（如Azure Stream Analytics、Power BI等）查看分析。

二、调试'Login failed for user'错误的方法 #

既然你已确认SSMS能正常连接，可从以下方向排查：

1. 检查连接字符串的用户名格式 #

Azure SQL的SQL认证登录名需使用用户名@服务器名的完整格式（比如myuser@myservertest），若连接字符串中仅填写用户名（未加@服务器名后缀），会直接导致登录失败，请核对你发布设置里的用户名格式。

2. 确认Web App应用设置中的连接字符串 #

有时候本地发布配置不会自动同步到Azure门户的Web App配置中：

• 登录Azure门户，找到你的Web App→配置→连接字符串
• 确认此处的连接字符串与本地配置一致，且连接字符串的类型选择了SQL Azure（类型会影响.NET应用读取连接字符串的逻辑）

3. 检查Azure SQL防火墙规则 #

虽然SSMS能连接，但Web App的出站IP可能不在Azure SQL的防火墙允许列表中：

• 进入Azure SQL服务器→安全性→防火墙和虚拟网络
• 可选择启用允许Azure服务和资源访问此服务器，或添加Web App的所有出站IP（在Web App→属性中可获取出站IP列表）

4. 查看Azure SQL的登录审计日志 #

启用登录审计能获取更详细的失败原因：

• 进入Azure SQL服务器→安全性→审计
• 启用审计并选择日志存储目标（如存储账户或Log Analytics），之后可查看登录失败的详细记录，包括错误状态码（比如状态码28表示密码错误，11/12表示用户名不存在或登录被禁用）

5. 在Kudu中直接测试连接字符串 #

通过Web App的Kudu控制台测试连接，排除应用代码的问题：

1. 进入Web App的Kudu（https://<你的WebApp名称>.scm.azurewebsites.net）
2. 打开CMD或PowerShell，执行sqlcmd命令测试：

   sqlcmd -S myservertest.database.windows.net,1433 -U 你的用户名@myservertest -P 你的密码 -d MyDatabaseTest
   

   若命令执行成功，说明连接字符串和网络无问题，问题可能出在应用代码的连接逻辑；若失败，会返回具体错误码和信息。

6. 检查密码中的特殊字符 #

如果密码包含分号、@、引号等特殊字符，需确保在连接字符串中正确处理。Azure生成的连接字符串会自动转义，但手动修改后可能出现转义错误。

内容的提问来源于stack exchange，提问作者Mark