Azure DevOps Pipeline访问Git无权限，求保留选项启用的解决办法

在Azure DevOps环境中，我有一个名为A的项目，包含R1和R2两个代码库。配置了由R1提交触发的流水线，其中R1是Terraform代码库，通过以下方式引用R2作为模块：

module "xxxx" {
  source      = "git::https://dev.azure.com/P/A/_git/R2/yyy"
}

为了让这个引用正常工作，我在流水线中执行了以下命令：

rm ~/.gitconfig |
git config --global url."https://$(System.AccessToken)@dev.azure.com".insteadOf "https://dev.azure.com"

构建代理用户已拥有所有代码库的读取权限，但仍收到错误：

remote: TF401019: The Git repository with name or identifier modules does not exist or you do not have permissions for the operation you are attempting.

只有禁用将作业访问令牌范围限定为当前项目（Azure DevOps流水线设置中的勾选选项）时流水线才能正常运行，但我希望保持该选项启用，寻求解决办法。

核心原因 #

启用将作业访问令牌范围限定为当前项目后，$(System.AccessToken)默认仅拥有当前流水线所属代码库（R1）的访问权限。即便代理用户有R2的权限，Terraform拉取模块时使用的是这个受限令牌，因此无法访问R2。

方案一：显式声明流水线对R2的依赖（推荐） #

在流水线YAML中添加resources节点，显式声明依赖R2代码库，Azure DevOps会自动为作业令牌授予R2的读取权限：

resources:
  repositories:
    - repository: R2
      type: git
      name: A/R2  # 格式：项目名/代码库名
      ref: main   # 按需指定分支或标签

添加后无需修改原有的git配置命令，流水线即可正常拉取R2模块。

方案二：调整git配置作用域 #

原命令使用--global修改代理的全局git配置，可能与代理的其他设置冲突。改为使用本地git配置（仅对当前流水线工作目录生效）：

rm ~/.gitconfig
git config url."https://$(System.AccessToken)@dev.azure.com".insteadOf "https://dev.azure.com"

（去掉--global参数，默认修改当前目录的.git/config）

方案三：使用项目级PAT替代System.AccessToken #

如果上述方案无效，可以创建一个项目级PAT（仅勾选代码库读取权限），将其存储为流水线的安全变量（例如命名为ProjectPAT），然后修改git配置命令：

git config --global url."https://$(ProjectPAT)@dev.azure.com".insteadOf "https://dev.azure.com"

这种方式不受作业令牌范围限制，但需要定期更新PAT。

内容的提问来源于stack exchange，提问作者user3579222