无需密钥在ADO流水线中安装私有Go模块的方法

问题背景 #

本人拥有私有GitHub仓库Clusterfleet，在ADO流水线中可通过服务连接成功检出该仓库，但将其作为Go模块安装时，始终要求GitHub认证。希望无需使用SSH密钥、PAT令牌或GitHub OAuth令牌完成模块安装。

现有资源配置 #

resources:
  - repository: Clusterfleet
    type: github
    endpoint: "Falcon (1)"
    name: webxt-microsoft/clusterfleet
    ref: refs/tags/v0.2.7

已尝试的本地模块方案 #

尝试通过go.work文件强制流水线使用本地检出的Clusterfleet包，执行以下两步脚本：

1. 设置GOPATH与模块链接 #

- script: |
            # 设置GOPATH为流水线工作区
            export GOPATH=$(Pipeline.Workspace)/go
            echo "##vso[task.setvariable variable=GOPATH]$GOPATH"

            # 将Clusterfleet模块添加到GOPATH对应路径
            mkdir -p $GOPATH/src/github.com/webxt-microsoft
            ln -s $(Build.SourcesDirectory)/clusterfleet $GOPATH/src/github.com/webxt-microsoft/clusterfleet

            # 配置GOPRIVATE指定私有仓库域名
            go env -w GOPRIVATE=github.com/webxt-microsoft

            # 更新Clusterfleet模块缓存
            cd $GOPATH/src/github.com/webxt-microsoft/clusterfleet
            go mod download
          displayName: 'Setup Clusterfleet module'

2. 创建go.work文件 #

- script: |
            echo "Creating go.work file"
            cat << EOF > $(Pipeline.Workspace)/go.work
            go 1.21

            use (
                $(GOPATH)/src/github.com/webxt-microsoft/clusterfleet
            )
            EOF
            cat $(Pipeline.Workspace)/go.work
          displayName: 'Create go.work file'

遇到的错误 #

上述方案未生效，抛出认证相关错误：

go: github.com/webxt-microsoft/falconfleet/cmd/apiserverproxy/app/run imports
github.com/webxt-microsoft/clusterfleet/pkg/client/clientset/versioned: reading github.com/webxt-microsoft/clusterfleet/go.mod at revision v0.2.7: git ls-remote -q origin in /mnt/vss/_work/1/go/pkg/mod/cache/vcs/cdbe37fa44eec61731b059b590c47e1b60a2c549f9a741905e85b859212d994b: exit status 128:
fatal: could not read Username for 'https://github.com': terminal prompts disabled
Confirm the import path was entered correctly.
If this is a private repository, see https://golang.org/doc/faq#git_https for additional information.

可行解决方案 #

方案1：通过go.mod replace指令强制使用本地模块（推荐） #

利用Go模块的replace规则，直接让主项目指向ADO已检出的本地Clusterfleet代码，完全绕开远程仓库认证：

在主项目的流水线步骤中添加以下脚本：

- script: |
    # 替换Clusterfleet模块为本地检出路径
    go mod edit -replace github.com/webxt-microsoft/clusterfleet=$(Build.SourcesDirectory)/clusterfleet
    # 同步依赖并更新模块
    go mod tidy
  displayName: 'Replace Clusterfleet module with local path'

优势

• 无需依赖GOPATH或go.work，配置简单直接
• 完全避免远程仓库的认证请求，直接使用本地已通过服务连接检出的代码

方案2：修复go.work的配置逻辑 #

如果坚持使用go.work，需确保主项目也被纳入工作区，并正确配置环境变量让Go识别：

修改创建go.work的脚本，将主项目路径加入use列表，并设置GOWORK环境变量：

- script: |
    echo "Creating go.work file"
    # 替换为你的主项目实际路径，示例为falconfleet
    MAIN_PROJECT_PATH=$(Build.SourcesDirectory)/falconfleet
    CLUSTERFLEET_PATH=$(Build.SourcesDirectory)/clusterfleet
    
    cat << EOF > $(Pipeline.Workspace)/go.work
    go 1.21

    use (
        $MAIN_PROJECT_PATH
        $CLUSTERFLEET_PATH
    )
    EOF
    
    cat $(Pipeline.Workspace)/go.work
    # 设置GOWORK环境变量，确保后续Go命令能识别工作区
    echo "##vso[task.setvariable variable=GOWORK]$(Pipeline.Workspace)/go.work"
  displayName: 'Create go.work file'

注意事项

• 必须将主项目和Clusterfleet模块同时加入go.work的use列表
• 后续执行Go命令时，需确保GOWORK变量已生效，或切换到go.work所在目录执行

通用配置要点 #

• 确认Clusterfleet仓库已被ADO流水线正确检出到$(Build.SourcesDirectory)/clusterfleet，可通过ls $(Build.SourcesDirectory)/clusterfleet验证路径存在
• 保持GOPRIVATE=github.com/webxt-microsoft的配置，避免Go尝试通过公共代理拉取私有模块

内容的提问来源于stack exchange，提问作者Aryaman