Azure Blob存储文件级安全

Question

我有一个Azure Blob存储，其中包含按客户编号分类的pdf blob。 因此，对于每个客户，他们都有多个pdf报告。 我只希望客户端能够访问其客户端编号的Blob。 （有数百个客户。）

我已经研究过，但只看到共享访问签名，但这看起来不符合我的需求。

Answer 1

听起来您已经让用户进行了身份验证，并且您知道哪些pdf属于他们。 我的建议是在当前应用程序中添加一个简单的代理（例如，如果您有MVC应用程序，则可以添加新的控制器和操作方法来代表用户检索pdf）。

这样，您就无需使用共享访问签名，并且可以将Blob容器保持私有状态。 您的控制器/操作方法将仅使用存储SDK来检索Blob。 另外一个好处是，您可以检查以确保他们正在请求自己的PDF文件，如果他们猜测其他人的ID，则可以拒绝该请求。

Answer 2

除了共享访问签名（和策略）以外，没有用户级别的Blob权限。

管理对特定用户内容的访问权（以及如何管理真正取决于您和您的应用程序的方式以及如何管理用户的内容元数据）将取决于您。

提供指向用户内容的链接时：如果您假定所有内容始终都是私有的，则只需在请求时创建按需SAS链接即可。 用户无法修改SAS链接以猜测序列号或相邻的 Blob，因为SAS用于特定的URL。

正如Andrés所建议的那样，您还可以使用您的应用程序流blob内容，而不必担心SAS。 但是，您现在将消耗Web应用程序的资源（网络，CPU，内存），这将对您应用程序的扩展要求产生影响。 您将不再能够将其卸载到存储服务。