PHP Azure Blob生成签名链接时如何正确设置访问权限和有效期？

Question

**问题描述：** 在使用 PHP 生成 Azure Blob 的共享访问签名（SAS）链接时，如何正确配置访问权限（如读、写、删除等）及设置合理有效期？常见做法是通过 `MicrosoftAzure\Storage\Blob\BlobRestProxy` 或 `Azure\StorageCommon\SharedAccessSignatureHelper` 类实现，但在实际应用中，开发者常困惑于权限参数的格式、时间格式是否正确（如 ISO 8601）、以及如何安全地限制访问范围。本文将详解如何在 PHP 中准确生成带有指定权限和过期时间的 SAS 链接，确保安全性与可用性。

Answer 1

PHP生成Azure Blob SAS链接：权限配置与安全实践详解

在云计算广泛应用的今天，Azure Blob Storage 成为存储非结构化数据的重要工具之一。共享访问签名（Shared Access Signature, SAS）机制允许开发者以细粒度控制对Blob资源的临时访问权限。然而，在使用 PHP 生成 Azure Blob 的 SAS 链接时，很多开发者常常面临如下问题：

• 如何正确设置SAS的访问权限（如读、写、删除等）？
• 时间格式是否必须为 ISO 8601？
• 如何限制SAS链接的访问范围，确保安全性？
• 应使用哪个PHP SDK类或方法生成SAS更可靠？

一、SAS简介与基本概念

共享访问签名是一种基于URL的令牌，用于授权对Azure Storage资源的有限访问权限。它由账户密钥签名，可指定以下核心参数：

参数名	说明
sp (Signed Permission)	访问权限组合，如 r 表示读取，w 表示写入等
st (Start Time)	访问开始时间，可选，默认立即生效
se (Expiry Time)	访问结束时间，必填项
sv (Storage Version)	服务版本号，例如 2021-06-08
sr (Signed Resource)	目标资源类型，b 表示 blob，c 表示 container
sig (Signature)	HMAC-SHA256加密后的签名值

二、PHP中生成SAS的常用方式

在 PHP 中，最常使用的库是 Microsoft 提供的官方 SDK：Azure\Storage\Blob\BlobRestProxy 和 Azure\Storage\Common\SharedAccessSignatureHelper。

1. BlobRestProxy::getContainerSasUrl()：适用于容器级别的SAS生成
2. BlobRestProxy::getBlobSasUrl()：适用于单个Blob对象的SAS生成
3. SharedAccessSignatureHelper::generateBlobServiceSharedAccessSignatureToken()：手动构造SAS Token，灵活性更高

下面是一个使用 SharedAccessSignatureHelper 手动生成SAS Token的代码示例：

use Azure\Storage\Common\SharedAccessSignatureHelper;
use Azure\Storage\Common\Internal\Resources;

$accountName = 'your_account_name';
$accountKey = 'your_account_key';
$containerName = 'your_container';
$blobName = 'your_blob.txt';

$sasHelper = new SharedAccessSignatureHelper($accountName, $accountKey);

$permissions = 'r'; // Read-only
$expiry = new \DateTime('+1 hour', new \DateTimeZone('UTC'));

$sasToken = $sasHelper->generateBlobServiceSharedAccessSignatureToken(
    Resources::RESOURCE_TYPE_BLOB,
    $containerName,
    $blobName,
    $permissions,
    $expiry->format(\DateTime::ISO8601),
    null, // start time optional
    '2021-06-08', // service version
    'https' // protocol
);
$sasUrl = "https://$accountName.blob.core.windows.net/$containerName/$blobName?$sasToken";
echo $sasUrl;

三、权限配置与常见错误解析

权限字段（sp）决定了用户通过SAS URL可以执行的操作。以下是常见权限字符及其含义：

权限字符	对应操作
r	读取操作（下载Blob内容）
w	写入操作（上传或更新Blob）
d	删除Blob
l	列举Blob（仅限于容器级别）
a	添加操作（Append Blob）
c	创建Blob

组合权限时，顺序不影响结果，但建议按字母排序。例如 rw 表示同时具有读写权限。

一个常见的误区是误将时间格式写成非标准格式。Azure要求时间为 UTC 时间，并且必须采用 ISO 8601 格式，例如：

$expiry->format(\DateTime::ISO8601); // 输出格式类似：2024-04-05T14:30:00+00:00

四、安全策略与最佳实践

生成SAS链接时，必须遵循最小权限原则（Principle of Least Privilege），避免暴露不必要的操作权限。以下是一些推荐的安全策略：

• 始终设置明确的过期时间，防止长期暴露
• 使用 HTTPS 协议传输 SAS URL
• 不要将 SAS URL 存储在日志或客户端代码中
• 避免使用完全开放的权限（如 rlwdca）
• 若需频繁生成SAS，考虑使用 Azure AD 基于角色的访问控制（RBAC）替代

graph TD A[请求生成SAS] --> B{权限需求分析} B --> C[确定操作权限] B --> D[设定起止时间] B --> E[选择资源类型] C --> F[构建权限字符串] D --> G[格式化时间戳] E --> H[设置 sr 参数] F & G & H --> I[调用 SharedAccessSignatureHelper] I --> J[生成完整SAS URL] J --> K[返回给客户端使用]