ADO拉取请求工作项自动验证方法咨询

云原生阿岚

2026-6-13

解决方案：Azure DevOps拉取请求工作项验证实现

核心结论

需要开发自定义审批检查——ADO原生仅支持检查关联项存在性，无法覆盖你的三类验证需求。PowerShell脚本（基于ADO Pipeline）和Azure Function都能实现，推荐先从PowerShell脚本入手，门槛更低、上手更快。

具体实现方案

一、PowerShell脚本实现（依托ADO Pipeline）

利用ADO的「拉取请求验证」触发Pipeline，在Pipeline中执行脚本完成工作项校验。

1. 创建验证Pipeline

新建YAML Pipeline，设置触发条件为拉取请求创建/更新时启动：

trigger: none
pr:
  branches:
    include:
      - main # 替换为你的目标分支
  paths:
    include:
      - '*'

2. 编写PowerShell验证脚本

通过ADO Rest API获取PR关联工作项，逐一验证三个条件：

# 配置参数
$orgUrl = "https://dev.azure.com/你的组织名"
$projectName = "你的项目名"
$pullRequestId = $(System.PullRequest.PullRequestId) # Pipeline内置变量，自动获取当前PR ID
$pat = "$(ADO-PAT)" # 在Pipeline变量中存储ADO个人访问令牌（需Work Items、Pull Requests权限）

# 获取PR关联的工作项
$headers = @{
    Authorization = "Basic $([Convert]::ToBase64String([Text.Encoding]::ASCII.GetBytes(":$pat")))"
}
$wiUrl = "$orgUrl/$projectName/_apis/git/pullrequests/$pullRequestId/workitems?api-version=7.1-preview.1"
$workItems = Invoke-RestMethod -Uri $wiUrl -Headers $headers -Method Get

# 定义需验证的任务类型与完成状态
$requiredWorkItemTypes = @("开发任务", "测试任务", "UAT任务") # 替换为你实际的工作项类型名
$completedState = "完成" # 替换为你工作项的完成状态名

# 验证条件a：所有指定任务类型均已关联
$foundTypes = $workItems.value.fields.'System.WorkItemType' | Select-Object -Unique
$missingTypes = $requiredWorkItemTypes | Where-Object { $_ -notin $foundTypes }
if ($missingTypes.Count -gt 0) {
    Write-Error "缺少关联任务类型：$($missingTypes -join ', ')"
    exit 1
}

# 验证条件b：所有关联任务状态为完成
$incompleteItems = $workItems.value | Where-Object { $_.fields.'System.State' -ne $completedState }
if ($incompleteItems.Count -gt 0) {
    $incompleteNames = $incompleteItems.fields.'System.Title' -join ', '
    Write-Error "以下任务未完成：$incompleteNames"
    exit 1
}

# 验证条件c：各任务经办人不同
$assignedToUsers = $workItems.value.fields.'System.AssignedTo'.uniqueName | Select-Object -Unique
if ($assignedToUsers.Count -ne $requiredWorkItemTypes.Count) {
    Write-Error "关联任务经办人存在重复，请确保三类任务经办人不同"
    exit 1
}

Write-Host "所有工作项验证通过！"
exit 0

3. 配置Pipeline权限与变量

给Pipeline服务主体授予「读取工作项」「读取拉取请求」权限
在Pipeline变量组中添加ADO-PAT变量，设置为保密状态

4. 关联PR分支策略

在ADO分支策略中添加「构建验证」，选择上述Pipeline，设置为PR必须通过此验证才能进入审批环节。

二、Azure Function实现（独立服务方案）

若需要脱离Pipeline的独立验证逻辑，可通过Azure Function接收ADO Webhook触发验证：

1. 配置ADO Webhook

在ADO项目「项目设置」->「服务挂钩」中新建Webhook，触发事件选择「拉取请求创建/更新」，目标URL设为Azure Function的HTTP触发地址。

2. 编写Azure Function

核心逻辑与PowerShell脚本一致，需处理Webhook请求体获取PR ID，调用ADO API完成验证，验证不通过时可调用ADO API直接拒绝PR。推荐用Azure Key Vault存储ADO PAT，保障密钥安全。

注意事项

PAT权限遵循最小化原则，仅授予必要的工作项和PR访问权限
脚本中的工作项类型名、状态名需与你ADO项目的实际配置完全匹配
测试阶段可手动触发Pipeline或发送模拟Webhook请求，验证逻辑正确性

内容的提问来源于stack exchange，提问作者David Robertson