Azure DevOps 2022 R2 Server：Git分支级读取权限配置问题咨询

可以实现拒绝用户/用户组的仓库级读取权限，仅授予其指定路径下特定分支的读取权限，你的Azure DevOps 2022 R2 Server本身支持该功能，大概率是配置步骤或权限优先级的问题导致不生效。

正确配置步骤 #

• 先锁死仓库级权限
  进入仓库的「安全」设置，找到目标用户/组，把「读取」权限设为「拒绝」。拒绝权限优先级高于所有允许权限，这一步是确保用户看不到仓库里其他内容的基础。
• 再开分支级权限
  1. 进入仓库的「分支」页面，要么找到目标分支右键点「安全」，要么去「仓库设置」→「分支」→「管理分支权限」入口。
  2. 在分支的安全设置里，添加目标用户/组，把「读取」权限设为「允许」。
• 按需加路径级限制
  如果要限制到分支里的特定目录，在分支安全页面点「添加权限」→「路径权限」，输入相对仓库根目录的路径（比如/src/TeamA/*），给目标用户/组开该路径的「读取」允许权限。

常见踩坑点排查 #

• 权限顺序搞反了：必须先设仓库级拒绝，再设分支/路径级允许，不然仓库级的默认允许会覆盖分支限制。
• 继承权限没处理：检查用户/组是不是从项目或集合级继承了读取权限，要是有，必须在仓库级明确「拒绝」才能覆盖继承的权限。
• 分支权限入口找错了：2022 R2 Server的分支权限入口可能藏在「仓库设置」的分支管理里，不是所有分支都能直接右键开安全设置，多找找。
• 路径格式不对：路径要写相对仓库根的格式，别加仓库名或绝对路径，比如/Features/TeamB/才对。

备用方案 #

要是上述配置还是有问题，换个思路：

• 给每个第三方团队建专属的分支前缀（比如teamA/*、teamB/*），再对应建用户组。
• 给每个分支组设置仅允许访问对应前缀的分支，同时仓库级读取设为拒绝。
• 配合路径权限，把每个团队的访问范围锁死在分支内自己的代码目录。

内容的提问来源于stack exchange，提问作者Grahame Horner