Azure DevOps流水线中GitHub CLI扩展安装的认证困境求助

一、绕过gh扩展依赖，直接脚本生成GitHub安装令牌 #

不用依赖第三方gh扩展，通过GitHub应用的私钥直接生成JWT并调用API获取临时令牌，彻底解决认证循环问题：

步骤1：在AzDO流水线中加载GitHub应用变量 #

确保已将GitHub应用的APP_ID、INSTALLATION_ID、PRIVATE_KEY存储在AzDO变量组中，流水线中先加载这些变量：

# 替换为你的变量组ID
VAR_GROUP_ID="123"

APP_ID=$(az pipelines variable-group variable list --group-id $VAR_GROUP_ID --name APP_ID --query "value" -o tsv)
INSTALLATION_ID=$(az pipelines variable-group variable list --group-id $VAR_GROUP_ID --name INSTALLATION_ID --query "value" -o tsv)
PRIVATE_KEY=$(az pipelines variable-group variable list --group-id $VAR_GROUP_ID --name PRIVATE_KEY --query "value" -o tsv)

步骤2：处理私钥格式并生成JWT令牌 #

AzDO存储的私钥可能丢失换行符，需先还原，再用openssl生成JWT（有效期10分钟，符合GitHub应用要求）：

# 还原私钥换行符
echo "$PRIVATE_KEY" | sed 's/\\n/\n/g' > private-key.pem

# 生成JWT头部和载荷
HEADER='{"alg":"RS256","typ":"JWT"}'
PAYLOAD="{\"iss\":$APP_ID,\"exp\":$(( $(date +%s) + 600 ))}"

# 编码头部和载荷
ENCODED_HEADER=$(echo -n "$HEADER" | base64 | tr -d '=' | tr '/+' '_-' | tr -d '\n')
ENCODED_PAYLOAD=$(echo -n "$PAYLOAD" | base64 | tr -d '=' | tr '/+' '_-' | tr -d '\n')

# 生成签名并拼接JWT
SIGNATURE=$(echo -n "$ENCODED_HEADER.$ENCODED_PAYLOAD" | openssl dgst -sha256 -sign private-key.pem | base64 | tr -d '=' | tr '/+' '_-' | tr -d '\n')
JWT_TOKEN="$ENCODED_HEADER.$ENCODED_PAYLOAD.$SIGNATURE"

步骤3：调用GitHub API获取临时安装令牌 #

用生成的JWT调用API获取具有仓库权限的临时令牌：

GH_TOKEN=$(curl -s -X POST "https://api.github.com/app/installations/${INSTALLATION_ID}/access_tokens" \
  -H "Authorization: Bearer ${JWT_TOKEN}" \
  -H "Accept: application/vnd.github+json" \
  | jq -r '.token')

步骤4：获取PR提交者邮箱 #

利用临时令牌调用GitHub API获取PR的最新提交者邮箱（AzDO流水线中可通过内置变量自动获取仓库和PR信息）：

# 从AzDO内置变量提取仓库和PR信息
REPO_NAME="${BUILD_REPOSITORY_NAME#*/}"  # 提取仓库名（去除所有者前缀）
OWNER_NAME="${BUILD_REPOSITORY_NAME%/*}" # 提取仓库所有者
PR_NUMBER="$SYSTEM_PULLREQUEST_PULLREQUESTNUMBER"

# 获取PR的第一个提交者邮箱
COMMITTER_EMAIL=$(curl -s "https://api.github.com/repos/${OWNER_NAME}/${REPO_NAME}/pulls/${PR_NUMBER}/commits" \
  -H "Authorization: token ${GH_TOKEN}" \
  | jq -r '.[0].commit.committer.email')

二、若坚持使用gh-token扩展的解决方案 #

如果一定要用Link-/gh-token扩展，可通过低权限PAT绕过安装时的认证要求：

1. 创建低权限GitHub PAT：生成一个仅勾选public_repo权限的个人访问令牌，该令牌仅能访问公开仓库，风险极低，可长期存储在AzDO变量组中（命名为GH_PUBLIC_TOKEN）。
2. 流水线中先安装扩展：

# 加载低权限PAT
GH_PUBLIC_TOKEN=$(az pipelines variable-group variable list --group-id $VAR_GROUP_ID --name GH_PUBLIC_TOKEN --query "value" -o tsv)
export GH_TOKEN="$GH_PUBLIC_TOKEN"

# 安装扩展
gh extension install Link-/gh-token --force

# 还原私钥并生成临时令牌
echo "$PRIVATE_KEY" | sed 's/\\n/\n/g' > private-key.pem
GH_TOKEN=$(gh token generate --app-id $APP_ID --installation-id $INSTALLATION_ID --private-key private-key.pem --scopes repo)

注意事项 #

• 确保流水线代理已安装openssl、jq、curl等工具，若使用Windows代理可改用PowerShell实现对应逻辑。
• GitHub应用需授予目标仓库的读取权限，否则无法获取提交信息。
• 临时令牌有效期默认1小时，可根据需求调整。

内容的提问来源于stack exchange，提问作者JDH