如何通过Azure DevOps流水线从其他项目克隆Git子模块？

给你两个完全绕开现有配置问题的可行方案，直接替换你的流水线配置即可：

方案一：使用Azure DevOps流水线资源声明（推荐） #

核心是通过流水线资源声明自动获取跨项目仓库权限，无需手动处理认证：

trigger:
  - develop

resources:
  - repo: self
  # 声明子模块对应的仓库资源，指定组织下的项目和仓库名
  - repo: nimble_auth_repo
    type: git
    name: nimble/base_repo/nimble_auth
    ref: main # 替换为你需要的子模块分支

variables:
  tag: "$(Build.BuildId)"

stages:
  - stage: Build
    displayName: Build Docker Images
    jobs:
      - job: Build
        displayName: Build Docker Images
        condition: eq(variables['Build.SourceBranch'], 'refs/heads/develop')
        cancelTimeoutInMinutes: 30
        pool:
          name: Nimble
          demands:
            - Agent.Name -equals Pipelinus Maximus
        steps:
          # 自动拉取主仓库和关联的子模块，流水线会自动处理权限
          - checkout: self
            persistCredentials: true
            clean: true
            submodules: true
            # 将声明的资源映射到子模块在主仓库的路径
            submoduleResources:
              - repository: nimble_auth_repo
                path: nimble_auth

          # 直接执行Docker构建，子模块已自动拉取完成
          - task: Docker@2
            displayName: Build Docker Image for Django (api-django)
            inputs:
              command: build
              dockerfile: '$(Build.SourcesDirectory)/Dockerfile'
              buildContext: '$(Build.SourcesDirectory)'
              tags: |
                api-django:$(tag)

关键说明 #

• 流水线资源声明会让Azure DevOps自动为流水线授予nimble_auth仓库的访问权限，无需手动处理token
• submoduleResources负责将声明的资源和主仓库内的子模块路径绑定，自动完成拉取
• 额外检查：确保Project Collection Build Service (nimble)账号在base_repo项目中对nimble_auth仓库有读取权限

方案二：使用PAT手动拉取（备选） #

通过自定义PAT绕过流水线默认token的项目限制：

trigger:
  - develop

resources:
  - repo: self

variables:
  tag: "$(Build.BuildId)"
  # 在流水线设置中添加保密变量SUBMODULE_PAT，值为拥有两个仓库读取权限的PAT

stages:
  - stage: Build
    displayName: Build Docker Images
    jobs:
      - job: Build
        displayName: Build Docker Images
        condition: eq(variables['Build.SourceBranch'], 'refs/heads/develop')
        cancelTimeoutInMinutes: 30
        pool:
          name: Nimble
          demands:
            - Agent.Name -equals Pipelinus Maximus
        steps:
          - checkout: self
            persistCredentials: true
            clean: true

          # 替换子模块URL为带PAT的地址，再拉取
          - script: |
              git config submodule.nimble_auth.url https://$(SUBMODULE_PAT)@dev.azure.com/nimble/base_repo/_git/nimble_auth/
              git submodule update --init --recursive
            displayName: Fetch Submodules with PAT

          # Docker构建步骤不变
          - task: Docker@2
            displayName: Build Docker Image for Django (api-django)
            inputs:
              command: build
              dockerfile: '$(Build.SourcesDirectory)/Dockerfile'
              buildContext: '$(Build.SourcesDirectory)'
              tags: |
                api-django:$(tag)

关键说明 #

• 需要在Azure DevOps创建一个PAT，权限至少包含Code (Read)，且能访问两个项目的仓库
• 这个方案需要手动维护PAT的有效期，不如方案一省心

内容的提问来源于stack exchange，提问作者John