使用账户SAS令牌无法列出Azure Blob容器，签名不匹配

1. 权限与资源类型不匹配 #

账户级SAS的权限和资源类型强绑定：

• 若仅指定resourceTypes=c（容器）且permissions=l，仅能执行列出存储账户下所有容器的操作；
• 要列出容器内的Blob，必须同时指定resourceTypes=co（容器+对象），且permissions需覆盖Blob级的l权限（账户级SAS的权限参数是复合配置，需确保对应资源的操作权限已开启）。

2. SAS生成参数校验 #

逐一核对生成SAS时的核心配置：

• 签名版本：必须使用2020-04-08及以上版本，旧版本签名算法与Azure SDK不兼容；
• 服务类型：明确指定services=b（仅Blob服务），误设为其他服务（如File）会直接导致签名失效；
• 有效期：确认当前时间处于SAS的start和expiry时间范围内，过期或未生效的令牌会触发认证失败；
• IP限制/协议：若生成时指定了允许的IP范围或强制HTTPS，需确保请求来源IP在范围内且使用HTTPS协议；
• 存储账户名称：生成SAS时使用的账户名称必须与后续请求的账户完全一致，大小写敏感。

3. BlobServiceClient初始化错误 #

检查客户端初始化的连接字符串格式：

// 正确格式：SAS令牌前必须带?，禁止混入账户密钥
var blobServiceClient = new BlobServiceClient($"https://{yourAccountName}.blob.core.windows.net/?{yourSasToken}");

• 禁止同时传入SAS令牌和账户密钥/RBAC凭证，否则会触发签名冲突；
• 确保SAS令牌没有被重复URL编码，部分API返回的SAS已完成编码，直接拼接即可。

4. 存储账户网络配置干扰 #

即使配置了RBAC和存储密钥，以下网络规则会伪装成签名不匹配错误：

• 存储账户防火墙设置了IP/VNet白名单，当前请求来源不在允许范围内；
• 存储账户开启了专用端点，但请求未通过专用端点访问。

5. RBAC与SAS的优先级问题 #

SAS令牌的权限优先级高于RBAC角色，不要依赖RBAC权限弥补SAS的权限不足——若SAS本身权限配置不全，即使配置了Storage Blob Data Contributor也无法生效。

内容的提问来源于stack exchange，提问作者Mig Rivera Cueva