代码之家 › 专栏 › 技术社区 › Hugo Barona

Azure存储静态网站安全问题

azure-storage azure

Hugo Barona · 技术社区 · 7 年前

我在Azure存储静态网站工作。此网站是公开的,旨在对Azure存储执行操作(管理多媒体-crud操作)。我担心,由于它是客户端应用程序,任何人都可以使用该代码对存储帐户执行意外操作。我该如何保护应用程序免受此影响?此外,我正在寻找一种解决方案,以避免硬编码密钥/SAS令牌拥有针对存储帐户的操作权限。我正在考虑使用托管服务标识。因为它处于预览模式,所以有人对它有经验吗?

2 回复 | 直到 7 年前

SumanthMarigowda-MSFT 7 年前

静态网站端点严格为只读。因此,客户端将无法更改网站的内容。

目前静态网站是匿名访问的。“添加oauth”将很快添加。对于读取访问,一旦站点被启用,它将对所有公众可用。

Michael Roberson - MSFT 7 年前

您绝对不应该将密钥或SAS令牌放在客户端。正如您所说,任何人都可以获得此信息并访问存储帐户。一种解决方案是使用HTTP触发的无服务器函数根据需要生成SAS令牌。然后,您可以仅向您希望公开访问的资源颁发有时间限制的SA。下面的教程演示了如何执行此操作。

https://docs.microsoft.com/en-us/azure/functions/tutorial-static-website-serverless-api-with-database

推荐文章

changembidar · blob存储的推荐访问实践

2 年前

bdcoder · Azure CLI-默认为Azure门户中的Microsoft Entra授权-如何?

2 年前

David Thielen · 我应该在应用程序的生命周期中保存BlobServiceClient和BlobContainerClient吗?

3 年前

David Thielen · 设置Azure BLOB的托管标识

3 年前

Java · 如何使用Python连接到Azure文件共享并读取csv文件

3 年前

mifan · c#客户端生成的azure容器的SAS令牌错误

3 年前

RAC · 在azure python SDK中,powershell AzStorageAccount是否有等效的类或模块?

3 年前

Sean Driver · 通过Azure CLI删除Azure存储快照

3 年前

antedesk · Windows Azure存储模拟器无法将日期时间字符串转换为有效的时间戳

13 年前

Ryan · Windows Azure上每视频分钟或每秒的成本[已关闭]

13 年前