使用SAS令牌从浏览器访问/更新Azure Blob存储是否安全？

Question

我正在尝试使用SAS令牌将文件从Javascript上传到Azure Blob存储。 SAS令牌具有创建/删除/更新Blob的权限。 通过给它一个过期时间来共享具有所有这些权限的SAS令牌是否安全？

或者，而不是将令牌暴露给用户，我应该创建一个API上传文件，然后让javascript调用该API（.NET应用程序），该API将文件上传到Blob存储。 这样，我将遇到性能问题，因为我的文件大小最大为10MB。

最好的方法是什么？

Answer 1

共享访问签名对于为不具有帐户密钥的客户端提供对您的存储帐户的有限权限很有用。

如果您是将数据写入存储帐户的人，请在服务器端这样做。 当然，您可以让前端从后端请求SAS令牌。 SAS令牌可以使用近期到期时间。 最后，您仍将向可以访问前端的任何人开放存储帐户的一部分。

随着SAS近期失效，即使SAS受到威胁，它也仅在短时间内有效。 如果您无法引用存储的访问策略，则此做法尤其重要。 近期到期时间还通过限制可上传到Blob的时间来限制可以写入Blob的数据量

来源： 使用共享访问签名（SAS）

如果您对要上传的文件大小有疑问，请查看进行分块上传 。 根据要构建的前端类型，有很多用于分块上传的解决方案，例如ngx-uploadx for Angular。

Answer 2

请使用主键或辅助键在API级别的Blob存储中执行CRUD操作，不建议SAS具有浏览器的所有权限

Answer 3

是的，您可以使用SAS令牌从浏览器访问/更新Azure Blob存储。 但是，您提供的权限过多 ，以至于有人不知道哪种方法不安全时，有人可能会删除您的Blob。

我建议您可以在要访问和更新Blob存储时将SAS权限更改为“ Create/Read/Write 。