Azure 存储 SAS 令牌生成 - 签名不匹配

Question

我现在在这个问题上挣扎了 3 天。我真的很感激你的帮助。

我正在尝试创建用于动态访问 Azure 存储 blob 的 SAS 令牌，该令牌生成但我不断收到此错误： Signature did not match. String to sign used was ... Signature did not match. String to sign used was ...

从 azure 门户创建 SAS 令牌工作正常，但我尝试使用许多不同的方式在代码中生成它，Micrtosoft.Azure.Storage 库：

private static string GetBlobSasUri(CloudBlobContainer container, string blobName)
{
    string sasBlobToken;

    // Get a reference to a blob within the container.
    // Note that the blob may not exist yet, but a SAS can still be created for it.
    CloudBlockBlob blob = container.GetBlockBlobReference(blobName);


    // Create a new access policy and define its constraints.
    // Note that the SharedAccessBlobPolicy class is used both to define the parameters of an ad hoc SAS, and
    // to construct a shared access policy that is saved to the container's shared access policies.
    SharedAccessBlobPolicy adHocSAS = new SharedAccessBlobPolicy()
    {
        // When the start time for the SAS is omitted, the start time is assumed to be the time when the storage service receives the request.
        // Omitting the start time for a SAS that is effective immediately helps to avoid clock skew.
        SharedAccessStartTime = DateTime.UtcNow.AddHours(-24),
        SharedAccessExpiryTime = DateTime.UtcNow.AddHours(24),
        Permissions = SharedAccessBlobPermissions.Read //| SharedAccessBlobPermissions.Write | SharedAccessBlobPermissions.Create
    };

    // Generate the shared access signature on the blob, setting the constraints directly on the signature.
    sasBlobToken = blob.GetSharedAccessSignature(adHocSAS);

    Console.WriteLine("SAS for blob (ad hoc): {0}", sasBlobToken);
    Console.WriteLine();

    // Return the URI string for the container, including the SAS token.
    return blob.Uri + sasBlobToken;
}

这已经尝试了几次，第二天就停止运行了..我在本地 IIS 和 azure 上测试了它，在本地它从来没有工作过。

我也尝试过自己创建令牌，生成和签署令牌，但同样的问题仍然存在..这是签名的代码：

 public static string generateSAS(Uri resourceUri, string accountKey, string accountName, StorageFile f)
        {

            string
                sr = "b",
                sp = "r",
                st = DateTime.Now.AddHours(-50).ToString("yyyy-MM-ddTH:MM:ssZ"),
                se = DateTime.Now.AddHours(50).ToString("yyyy-MM-ddTH:MM:ssZ"),
                sv = "2016-05-31"; //"2019-07-07"

            string blobUri = $"https://{accountName}.blob.core.windows.net/{f.Model.Container}/{f.Model.FileName}";

            string stringToSign = string.Format("{0}\n{1}\n{2}\n{3}\n{4}\n{5}\n{6}\n{7}\n{8}\n{9}\n{10}\n{11}\n{12}", new object[]
            {
                "r",
                st,
                se,
                GetCanonicalizedResource(new Uri(blobUri), accountName),
                string.Empty,
                string.Empty,
                string.Empty,
                sv,
                sr,
                string.Empty,
                string.Empty,
                string.Empty,
                string.Empty
            });

            var sas = GetHash(stringToSign, accountKey);

            var token =
                $"?sv={sv}&sr=b&sig={HttpUtility.UrlEncode(sas)}&st={HttpUtility.UrlEncode(st)}&se={HttpUtility.UrlEncode(se)}&sp=r";


            return blobUri + token;
        }

        private static string GetHash(string stringToSign, string key)
        {
            byte[] keyValue = Convert.FromBase64String(key);

            using (HMACSHA256 hmac = new HMACSHA256(keyValue))
            {
                return Convert.ToBase64String(hmac.ComputeHash(Encoding.UTF8.GetBytes(stringToSign)));
            }
        }



private static string GetCanonicalizedResource(Uri address, string storageAccountName)
        {
             // The absolute path is "/" because for we're getting a list of containers.
            StringBuilder sb = new StringBuilder("/").Append("blob").Append("/").Append(storageAccountName).Append(address.AbsolutePath);
            return sb.ToString();

        }

我已阅读文档并认为该问题可能是版本问题，因此我尝试使用最新版本和它之前的一些版本，但无济于事。

我试过不使用和添加其他参数，没有任何效果。

我也一直认为这个问题可能是由于时钟，但到目前为止我已经将我的时钟调整到一天中的每个小时，并且它已经在位于“英国南部”的 Azure 上的应用程序服务上进行了测试，在那里 C# 代码工作了不到一天。

我非常感谢您的帮助！ 谢谢你

编辑使用我手动对其进行自我签名的代码的 RESTful 版本，这是“toSignString”：

r
2020-02-17T14:02:56Z
2020-02-21T18:02:56Z
/blob/<accountName>/<contaioner1>/<subContainer2>/<subContainer3>/file.v



2016-05-31
b

这是完整的 Uri：

https://<account>.blob.core.windows.net/<contaioner1>/<subContainer2>/<subContainer3>/file.v?
sv=2016-05-31&sr=b&sig=hI7MH0pT05cDpga2bMkanR%2b77CeocgttygDJbkRw6EM%3d&st=2020-02-17T14%3a02%3a56Z&se=2020-02-21T18%3a02%3a56Z&sp=r

Answer 1

这已经工作了一天，然后它停止工作..我在我的本地 IIS 和 azure 上测试了它，在本地它从来没有工作过。

这是预期行为，因为您将 SAS 令牌到期时间设置为从当前日期/时间（UTC 时间）算起 24 小时：

SharedAccessExpiryTime = DateTime.UtcNow.AddHours(24),

如果您希望您的 SAS URL 工作更长时间，您将需要指定一个远在未来的到期日期。

关于第二个问题（手动创建 SAS 令牌），我认为您的GetCanonicalizedResource方法存在问题。 根据documentation ，它应该采用以下格式：

/blob/<account-name>/<container-name>/<blob-name>

字符串的规范化资源部分是签名资源的规范路径。 它必须包含版本 2015-02-21 或更高版本的服务名称（blob、表、队列或文件）、存储帐户名称和资源名称，并且必须经过 URL 解码。

基于此，请尝试以下代码：

private static string GetCanonicalizedResource(Uri address, string storageAccountName)
{
    // The absolute path is "/" because for we're getting a list of containers.
    StringBuilder sb = new StringBuilder("/").Append("blob").Append("/").Append(storageAccountName).Append("/").Append(address.AbsolutePath);
    return sb.ToString();
}

更新

我花了一段时间才弄清楚出了什么问题:) 但终于能够做到这一点。 我发现有很多问题：

1. 您错误地格式化日期。 它应该在yyyy-MM-ddTHH:MM:ssZ但您将其格式化为yyyy-MM-ddTH:MM:ssZ格式。 如果您注意到，它缺少一个额外的H 。
2. 您使用的是2016-05-31签名版本，并且不包括stringToSign的签名资源（在您的情况下为b ），但您包括了它。 不过，它应该包含在您的 SAS URL 中。
3. 您要签名的字符串缺少content-language (rscl)参数。

根据文档，这是您应该如何构建stringToSign ：

StringToSign = signedpermissions + "\n" +  
               signedstart + "\n" +  
               signedexpiry + "\n" +  
               canonicalizedresource + "\n" +  
               signedidentifier + "\n" +  
               signedIP + "\n" +  
               signedProtocol + "\n" +  
               signedversion + "\n" +  
               rscc + "\n" +  
               rscd + "\n" +  
               rsce + "\n" +  
               rscl + "\n" +  
               rsct

基于此，这里应该是您的代码：

    string stringToSign = string.Format("{0}\n{1}\n{2}\n{3}\n{4}\n{5}\n{6}\n{7}\n{8}\n{9}\n{10}\n{11}\n{12}", new object[]
    {
        "r",//permission
        st,//start
        se,//end
        GetCanonicalizedResource(new Uri(blobUri), accountName),//canonical resource
        string.Empty,//signed identifier
        string.Empty,//signed ip
        string.Empty,//signed protocol
        sv,//signed version
        string.Empty,//cache control
        string.Empty,//content disposition
        string.Empty,//content encoding
        string.Empty,//content language
        string.Empty//content type
    });

试一试，它应该可以工作。