Azure DevOps流水线完成后如何安全删除触发分支？

我有一个用于部署的Azure DevOps流水线，需求是在部署完成后删除触发该流水线的分支。最初我用了以下Bash脚本任务实现：

git remote remove origin
git remote add origin https://<PAT>@<company_machineName>.visualstudio.com:/<path-to-git-repo>
git push -d origin $branch

但这个方案有个明显问题：如果PAT所属的员工离职，就得重新更换PAT，维护成本很高。想请教有没有其他更可靠的实现方式？能不能通过服务连接来做认证？

方案1：用Azure DevOps CLI + 服务连接（推荐） #

Azure DevOps CLI支持通过服务连接完成认证，完全不需要硬编码个人PAT，步骤如下：

• 在流水线中添加Azure CLI任务，选择对应的Azure DevOps服务连接（确保这个服务连接拥有目标仓库的分支删除权限）
• 在CLI任务的脚本中执行分支删除命令：

# 替换<repo-name>、<project-name>为实际值
az repos ref delete --name "refs/heads/$branch" --repository <repo-name> --org https://<company_machineName>.visualstudio.com --project <project-name>

• 脚本中的$branch可以直接用流水线预定义变量：如果触发分支是feature/test这类短名称，用$(Build.SourceBranchName)；如果是完整的refs/heads/feature/test格式，直接用$(Build.SourceBranch)

方案2：使用流水线内置OAuth令牌 #

Azure DevOps流水线运行时会自动生成临时OAuth令牌System.AccessToken，可以直接用来做Git认证，完全不需要额外配置：
修改原来的Bash脚本，替换成下面的内容：

# 直接更新现有remote的认证信息，不用重新添加remote
git remote set-url origin https://$(System.AccessToken)@<company_machineName>.visualstudio.com/<path-to-git-repo>.git
# 删除目标分支
git push origin --delete $branch

注意：需要给流水线的项目集合构建服务（<你的项目名>）账号分配仓库的Contributor权限（或更高权限，确保有分支删除权限），否则会提示权限不足。

方案3：绑定Git服务连接认证 #

如果坚持要用原生Git命令，也可以通过Git服务连接来避免个人PAT：

• 在Azure DevOps中创建一个Git服务连接，配置目标仓库地址，用服务主体或托管身份完成认证（不要用个人PAT）
• 在流水线中添加Bash任务，通过流水线变量组关联服务连接的凭证信息，或者直接使用任务的内置参数获取服务连接的认证信息来执行Git操作。不过这种方式相对前两种稍显繁琐，一般更推荐前两个方案。

内容的提问来源于stack exchange，提问作者akhil pathirippilly