Azure DevOps流水线调用API仅返回当前仓库，无法获取项目全部仓库

问题分析 #

你遇到的核心问题是：流水线中使用System.AccessToken调用Git仓库列表API时，仅返回当前流水线所在仓库，而浏览器中用个人账号访问能返回项目下所有仓库。这是因为流水线默认的构建服务账户权限范围有限，即使调整过部分安全设置，也可能未覆盖到项目内所有仓库的访问权限。

解决步骤 #

1. 修正API端点格式

确保你的API URL指向正确的范围：

• 若要获取指定项目下所有仓库，用环境变量动态拼接项目名（推荐用最新API版本）：

$header = @{ Authorization = "Bearer $(System.AccessToken)" }
$allReposUrl = "$($env:SYSTEM_TEAMFOUNDATIONSERVERURI)$($env:SYSTEM_TEAMPROJECT)/_apis/git/repositories?api-version=7.1-preview.1"
$allReposResponse = (Invoke-RestMethod -Uri $allReposUrl -Method Get -Headers $header).value

$allReposResponse | ForEach-Object {
    Write-Host "LOG: $($_.name) - $($_.webUrl)"
}

• 若要获取整个组织下所有仓库，需去掉项目路径：

$orgUrl = $env:SYSTEM_TEAMFOUNDATIONSERVERURI -replace "/$($env:SYSTEM_TEAMPROJECT)/$", ""
$allReposUrl = "$orgUrl/_apis/git/repositories?api-version=7.1-preview.1"

2. 配置构建服务账户的Git权限

1. 进入Azure DevOps项目的项目设置 → Repos → Repositories
2. 点击右上角安全按钮
3. 搜索{项目名} Build Service ({组织名})账户
4. 为该账户设置读取权限为允许，确保权限应用到项目下所有仓库（可通过"继承"或直接设置项目级权限实现）

3. 检查流水线权限配置

• 进入流水线编辑页，点击右上角**...** → 流水线设置
• 确认代理作业权限中勾选了允许脚本访问OAuth令牌（默认勾选，若取消会导致System.AccessToken无效）
• 若需跨项目访问仓库，需到组织设置中为{组织名} Build Service ({组织名})配置组织级的Git读取权限

4. 验证权限有效性

可在脚本中添加调试输出，确认API URL和权限上下文：

Write-Host "API请求URL: $allReposUrl"
# 可选：输出当前账户的权限信息
$permissionUrl = "$($env:SYSTEM_TEAMFOUNDATIONSERVERURI)_apis/securitynamespaces/2e9eb7ed-3c0a-47d4-87c1-0ffdd275fd87/aces?api-version=7.1-preview.1"
$permissions = Invoke-RestMethod -Uri $permissionUrl -Method Get -Headers $header
Write-Host "当前权限详情: $($permissions | ConvertTo-Json -Depth 10)"

关键说明 #

浏览器中能正常返回结果是因为使用的是你的个人账号，权限范围远大于流水线的构建服务账户。流水线的System.AccessToken默认仅拥有当前流水线所在仓库的基础权限，必须手动扩展其权限范围才能访问项目内其他仓库。

内容的提问来源于stack exchange，提问作者Dan