Azure Blob存儲文件級安全

Question

我有一個Azure Blob存儲，其中包含按客戶編號分類的pdf blob。 因此，對於每個客戶，他們都有多個pdf報告。 我只希望客戶端能夠訪問其客戶端編號的Blob。 （有數百個客戶。）

我已經研究過，但只看到共享訪問簽名，但這看起來不符合我的需求。

Answer 1

聽起來您已經讓用戶進行了身份驗證，並且您知道哪些pdf屬於他們。 我的建議是在當前應用程序中添加一個簡單的代理（例如，如果您有MVC應用程序，則可以添加新的控制器和操作方法來代表用戶檢索pdf）。

這樣，您就無需使用共享訪問簽名，並且可以將Blob容器保持私有狀態。 您的控制器/操作方法將僅使用存儲SDK來檢索Blob。 另外一個好處是，您可以檢查以確保他們正在請求自己的PDF文件，如果他們猜測其他人的ID，則可以拒絕該請求。

Answer 2

除了共享訪問簽名（和策略）以外，沒有用戶級別的Blob權限。

管理對特定用戶內容的訪問權（以及如何管理真正取決於您和您的應用程序的方式以及如何管理用戶的內容元數據）將取決於您。

提供指向用戶內容的鏈接時：如果您假定所有內容始終都是私有的，則只需在請求時創建按需SAS鏈接即可。 用戶無法修改SAS鏈接以猜測序列號或相鄰的 Blob，因為SAS用於特定的URL。

正如Andrés所建議的那樣，您還可以使用您的應用程序流blob內容，而不必擔心SAS。 但是，您現在將消耗Web應用程序的資源（網絡，CPU，內存），這將對您應用程序的擴展要求產生影響。 您將不再能夠將其卸載到存儲服務。