AzureBlobStorageに保存したリソースにPHPで署名付きURLを生成する方法

class StorageManager
{
    public function __construct(
        protected readonly string $accountName,
        protected readonly string $accountKey,
        protected readonly string $containerName,
        protected readonly string $endpoint,
    ) {
    }

    /**
     * @param array $arraySign
     * @return string
     */
    public function makeSignature(array $arraySign): string
    {
        $str2sign = implode("\n", $arraySign);

        return base64_encode(hash_hmac('sha256', urldecode(utf8_encode($str2sign)), base64_decode($this->accountKey), true));
    }

    /**
     * @return string
     */
    public function getAccountName(): string
    {
        return $this->accountName;
    }

    /**
     * @return string
     */
    public function getContainerName(): string
    {
        return $this->containerName;
    }

    /**
     * @return string
     */
    public function getEndpoint(): string
    {
        return $this->endpoint;
    }
}

base64_encode(hash_hmac('sha256', urldecode(utf8_encode($str2sign)), base64_decode($this->accountKey), true));

<?php

/**
 * Azure Blob StorageのService SAS Tokenを生成するクラス
 */
class ServiceSASToken
{
    /** @var string */
    private readonly string $signedVersion;

    /** @var string */
    private readonly string $resource;

    /**
     * signedStartが指定されていない場合は、すぐに有効となる。
     * 閲覧の開始時間を指定する場合は、signedStartを指定する。
     * @param string $blobName
     * @param string $signedExpiry
     * @param string $permission
     * @param string|null $signedStart
     */
    public function __construct(
        private readonly string $blobName,
        private readonly string $signedExpiry,
        private readonly string $permission = 'r',
        private readonly ?string $signedStart = null
    ) {
        $this->signedVersion = '2020-04-08';

        // 「b」はBlobを指す
        $this->resource = 'b';
    }

    /**
     * @return string
     */
    public function token(): string
    {
        $signature = $this->makeSignature();

        $params = [
            'sv' => $this->signedVersion, // 共有アクセス署名のサービスバージョン
            'st' => $this->signedStart ?? '', // アクセス許可を開始する日時
            'se' => $this->signedExpiry, // アクセスを許可を終了する日時
            'sr' => $this->resource, // blobリソース名
            'sp' => $this->permission, // 許可する権限、「r」は読み取り権限
            'sig' => $signature,　// 署名文字列
        ];

        // 署名付きURLを作成するリソースのURLに、クエリパラメータとして付与する必要がある
        return http_build_query($params);
    }

    /**
     * @return string
     */
    private function makeSignature(): string
    {
        $storageManager = new StorageManager();

　　　　　// canonicalizedResourceの構成は下記の通りです
　　　　　// 「/blob/blobアカウント名/blobコンテナ名/blobリソース名」
        $canonicalizedResource =
            "/blob/{$storageManager->getAccountName()}/{$storageManager->getContainerName()}/$this->blobName";

        $arraysign = [
            $this->permission, // signedPermission
            $this->signedStart ?? '', // signedStart
            $this->signedExpiry, // signedExpiry
            $canonicalizedResource, // canonicalizedResource
            '', // signedIdentifier
            '', // signedIP
            '', // signedProtocol
            $this->signedVersion, // signedVersion
            $this->resource, // signedResource
            '', // signedSnapshotTime
            '', // rscc
            '', // rscd
            '', // rsce
            '', // rscl
            '', // rsct
        ];

        return $accountManager->makeSignature($arraysign);
    }
}

<?php

use Illuminate\Support\Carbon;

class StampServiceSASToken
{
    /**
     * 引数で与えられたblobのURLに対して、
     * Azure Blob StorageのService SAS Tokenを付与する
     * @param string $blobUrl
     * @return string
     */
    public static function execute(string $blobUrl): string
    {
        // blob storageへのURLからblobリソース名のみを抽出します。
        $blobName = self::extractBlobName($blobUrl);
        $now = Carbon::now();

        // signedExpiryとsignedStartはUTC時間且つ、「Y-m-d\TH:i:s\Z」の形式にする必要があります
        $sas = new ServiceSASToken(
            blobName: $blobName,
            signedExpiry: $now->copy()->addMinute()->utc()
                ->format('Y-m-d\TH:i:s\Z'),
            permission: 'r',
            signedStart: $now->utc()
                ->format('Y-m-d\TH:i:s\Z'),
        );

　　　　　// 生成したsasトークンをblob urlにクエリパラメータとして付与する
        return $blobUrl.'?'.$sas->token();
    }

    /**
     * @param string $blobUrl
     * @return string
     */
    private static function extractBlobName(string $blobUrl): string
    {
        $storageManager = app(StorageManager::class);
        $extractStr = $storageManager->getEndpoint().'/'.$storageManager->getContainer().'/';

        return str_replace($extractStr, '', $blobUrl);
    }
}