Azure DevOps流水线Docker步骤访问跨组织NuGet源失败求助

针对你遇到的error NU1301: Unable to load the service index for source错误，且凭据提供器已加载但未进入认证环节的情况，提供以下针对性解决建议：

1. 修正Dockerfile中ARG参数的作用域 #

当前ARG FEED_ACCESSTOKEN仅定义在base阶段，build阶段无法读取该参数，会导致环境变量中的PAT为空，进而凭据提供器无法生成有效认证信息。

修改方案：
将ARG声明移至所有阶段之前（全局生效），或在build阶段重新声明ARG：

# 全局声明ARG，所有阶段均可访问
ARG FEED_ACCESSTOKEN

FROM mcr.microsoft.com/dotnet/aspnet:6.0.14-bullseye-slim-amd64 AS base
WORKDIR /app
EXPOSE 80
EXPOSE 443

FROM mcr.microsoft.com/dotnet/sdk:6.0.427-1-bullseye-slim-amd64 AS build
# 若未全局声明，需在此重新声明ARG
# ARG FEED_ACCESSTOKEN

ENV NUGET_PLUGIN_HANDSHAKE_TIMEOUT_IN_SECONDS=60
ENV NUGET_PLUGIN_REQUEST_TIMEOUT_IN_SECONDS=60
RUN curl -L https://raw.githubusercontent.com/Microsoft/artifacts-credprovider/master/helpers/installcredprovider.sh  | sh

# 后续步骤保持不变
WORKDIR /src
COPY ["xxx/xxx.csproj", "xxx/"]
COPY ["xxx/nuget.config", "xxx/"]

ENV VSS_NUGET_EXTERNAL_FEED_ENDPOINTS="{\"endpointCredentials\": [{\"endpoint\":\"https://pkgs.dev.azure.com/{org}/_packaging/{feed}/nuget/v3/index.json\", \"username\":\"docker\", \"password\":\"${FEED_ACCESSTOKEN}\"}]}"
RUN echo $VSS_NUGET_EXTERNAL_FEED_ENDPOINTS

RUN dotnet restore "xxx/xxx.csproj" --verbosity detailed

2. 确保nuget.config源URL与环境变量endpoint完全匹配 #

VSS_NUGET_EXTERNAL_FEED_ENDPOINTS中的endpoint必须和nuget.config里配置的源URL完全一致，包括字符顺序、末尾斜杠、大小写（虽然URL不区分大小写，但Azure Artifacts的凭据匹配逻辑可能严格）。

检查示例：
如果nuget.config中源配置为：

<packageSources>
  <add key="ExternalOrgFeed" value="https://pkgs.dev.azure.com/TargetOrg/_packaging/TargetFeed/nuget/v3/index.json" />
</packageSources>

则环境变量中的endpoint必须和上述value完全相同，不能有任何差异。

3. 验证凭据提供器安装完整性 #

在Dockerfile中添加验证步骤，确认Artifacts凭据提供器已正确安装：

# 安装后添加验证命令
RUN curl -L https://raw.githubusercontent.com/Microsoft/artifacts-credprovider/master/helpers/installcredprovider.sh | sh
# 检查安装版本
RUN installcredprovider.sh --version
# 检查插件目录是否存在凭据提供器文件
RUN ls -la /root/.nuget/plugins/netcore

若安装失败，可尝试将安装脚本下载到本地代码仓库，再COPY进镜像执行，避免网络问题导致的安装不完整。

4. 指定dotnet restore使用的nuget.config路径 #

确保dotnet restore明确使用你COPY进镜像的nuget.config，避免使用默认配置导致源不匹配：

RUN dotnet restore "xxx/xxx.csproj" --configfile xxx/nuget.config --verbosity detailed

5. 检查PAT权限与有效性 #

确认服务连接使用的PAT满足以下要求：

• 属于目标组织的有效用户账号
• 拥有Packaging > Read权限
• 未过期、未被撤销

即使PAT有效，权限不足也可能导致无法加载服务索引（部分场景下不会返回403，而是NU1301）。

6. 绕过Docker内部认证：在流水线中提前执行restore #

更可靠的方式是在Docker构建前，利用Azure DevOps流水线的NuGetAuthenticate@1任务完成包还原，再将还原结果复制到镜像中：

流水线添加restore步骤： #

- task: NuGetAuthenticate@1
  inputs:
    nuGetServiceConnections: 'nuget-feed'

# 新增restore步骤
- task: DotNetCoreCLI@2
  inputs:
    command: 'restore'
    projects: 'xxx/xxx.csproj'
    feedsToUse: 'select'
    vstsFeed: 'nuget-feed'

# 后续Docker构建步骤修改
- task: Docker@2
  inputs:
    command: 'build'
    Dockerfile: 'xxx/xxx/Dockerfile'
    buildContext: 'xxx'
    # 无需再传递FEED_ACCESSTOKEN参数

修改Dockerfile，跳过restore直接build： #

FROM mcr.microsoft.com/dotnet/aspnet:6.0.14-bullseye-slim-amd64 AS base
WORKDIR /app
EXPOSE 80
EXPOSE 443

FROM mcr.microsoft.com/dotnet/sdk:6.0.427-1-bullseye-slim-amd64 AS build
WORKDIR /src
# 复制整个项目目录（包括已还原的包）
COPY ["xxx/", "xxx/"]

# 直接build，无需restore
RUN dotnet build "xxx/xxx.csproj" -c Release --no-restore

这种方式利用流水线原生的凭据管理，避免在Docker镜像内部处理跨组织认证的复杂逻辑。

内容的提问来源于stack exchange，提问作者lazarus