在ADO流水线中拉取Bitbucket私有仓库的权限问题求助

针对你遇到的权限问题，提供三个可行的解决方案，按安全优先级排序：

方案1：使用Bitbucket部署密钥（推荐，最小权限） #

部署密钥是针对单个仓库的只读SSH密钥，无需单独用户账号，完美匹配你的最小权限需求：

• 生成SSH密钥对：

  ssh-keygen -t ed25519 -C "ado-pipeline-dependency-access" -N "" -f bitbucket-deploy-key
  

• 登录Bitbucket，进入目标仓库的Settings > Deploy keys，点击Add key，把生成的bitbucket-deploy-key.pub内容粘贴进去，无需勾选Allow write access（仅需只读权限）。
• 在Azure DevOps流水线的Library > Variable groups中添加安全变量BITBUCKET_SSH_KEY，值为bitbucket-deploy-key的私钥内容（务必勾选Keep this value secret）。
• 在ADO流水线中添加SSH代理步骤，让npm通过SSH访问私有仓库：

  steps:
  - task: InstallSSHKey@0
    inputs:
      knownHostsEntry: 'bitbucket.org ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIIazEu89wgQZ4bqs3d63QSMzYVa0MuJ2e2gKTKqu+UUO'
      sshKeyValue: $(BITBUCKET_SSH_KEY)
  - script: npm install
    displayName: 'Install npm dependencies'
  

  无需修改package.json里的仓库地址，npm会自动用SSH密钥认证，权限仅限定在目标仓库。

方案2：限制Bitbucket应用密码的权限范围 #

如果必须用HTTPS方式，可通过缩小应用密码的权限来降低风险：

• 登录Bitbucket，进入个人设置的App passwords，点击Create app password。
• 只勾选必要的只读权限：比如Repositories > Read，不要勾选其他无关权限（如项目管理、账号修改等）。
• 在ADO流水线中设置安全变量BITBUCKET_USERNAME和BITBUCKET_APP_PASSWORD，然后用脚本替换package.json中的仓库地址：

  steps:
  - script: |
      sed -i 's/git@bitbucket.org:<team name>\/repo.git/git+https:\/\/$(BITBUCKET_USERNAME):$(BITBUCKET_APP_PASSWORD)@bitbucket.org:<teamname>\/repo.git/g' package.json
    displayName: 'Update private repo URL in package.json'
  - script: npm install
    displayName: 'Install npm dependencies'
  

  虽然应用密码仍能访问所有你有权限的仓库，但只读权限已经把风险降到最低。

方案3：申请专用只读服务账号 #

如果团队允许，可向管理员申请创建一个仅拥有目标仓库只读权限的Bitbucket服务账号：

• 管理员在Bitbucket团队设置中创建新用户，仅给该用户分配目标仓库的Read权限，不授权其他仓库。
• 将该账号的用户名和密码（或应用密码）作为ADO流水线的安全变量，后续用法同方案2。
  这种方案权限最小化，符合安全最佳实践，但需要依赖管理员操作。

内容的提问来源于stack exchange，提问作者Rupali