如何通过自定义Visual Studio扩展利用内置登录安全访问GitHub Enterprise API

方法一：利用Visual Studio账户服务获取存储的凭据 #

Visual Studio内置账户系统会安全托管已登录的GitHub Enterprise账户信息，自定义扩展可通过官方SDK直接调用这些认证数据，无需手动输入令牌：

• 先在扩展项目中引用Microsoft.VisualStudio.Shell.15.0及以上版本的NuGet包，确保能访问账户服务接口
• 通过IAccountManager服务枚举已登录账户，匹配目标GitHub Enterprise实例
• 调用GetTokenAsync方法获取带有所需权限的访问令牌，该令牌由VS密钥链托管，不会暴露给用户

示例代码：

using Microsoft.VisualStudio.Shell;
using Microsoft.VisualStudio.Shell.Accounts;
using System.Threading.Tasks;
using System;

public async Task<string> FetchGHEAccessTokenAsync(string enterpriseBaseUrl)
{
    var accountManager = await ServiceProvider.GetGlobalServiceAsync(typeof(IAccountManager)) as IAccountManager;
    if (accountManager == null) return null;

    var allAccounts = await accountManager.GetAccountsAsync();
    foreach (var account in allAccounts)
    {
        if (account.Provider.Name.Equals("GitHub Enterprise", StringComparison.OrdinalIgnoreCase) &&
            account.Properties.TryGetValue("EnterpriseUrl", out var storedUrl) &&
            storedUrl.Equals(enterpriseBaseUrl, StringComparison.OrdinalIgnoreCase))
        {
            // 按需申请权限范围，比如repo权限用于分支和PR管理
            var tokenResult = await accountManager.GetTokenAsync(account, "repo");
            return tokenResult.Token;
        }
    }
    return null;
}

• 注意：请求的权限范围需与用户登录GitHub Enterprise时授权的范围一致，否则会导致令牌获取失败

方法二：复用GitHub for Visual Studio扩展的认证服务 #

如果用户已安装官方的GitHub for Visual Studio扩展，自定义扩展可直接复用其已有的认证会话：

• 通过MEF（Managed Extensibility Framework）导入官方扩展提供的IGitHubService接口
• 从服务实例中获取已连接的GitHub Enterprise账户会话，提取有效访问令牌
• 这种方式无需自行处理令牌刷新和存储逻辑，完全依赖官方扩展的安全机制

方法三：通过Visual Studio凭据管理器读取系统存储的凭据 #

Visual Studio会将GitHub Enterprise的登录凭据存储在系统级密钥链中（Windows凭据管理器、macOS Keychain），扩展可通过凭据管理器API读取：

• 使用CredentialManager类查询对应GitHub Enterprise地址的git凭据，目标名称通常为git:https://<你的GHE域名>
• 读取到的凭据中，密码字段即为GitHub个人访问令牌（PAT），可直接用于API请求

示例代码：

using Microsoft.VisualStudio.Shell;
using System.Net;

public NetworkCredential RetrieveGHECredential(string gheRepoUrl)
{
    var credentialManager = new CredentialManager();
    // 匹配git协议的凭据条目
    return credentialManager.GetCredential(gheRepoUrl, "git");
}

• 使用时，将获取到的令牌以Bearer <token>的格式加入API请求的Authorization头即可

安全注意事项 #

• 令牌仅在扩展内存中临时使用，绝对不要将其写入本地文件或持久化存储
• 申请最小必要的权限范围（比如仅repo权限），避免过度授权带来的风险
• 处理令牌过期场景：当API返回401 Unauthorized时，触发VS的账户重新认证流程，获取新的有效令牌

内容的提问来源于stack exchange，提问作者AJ Henderson