Azure DevOps流水线persistCredentials失效致Git推送认证失败求助

核心问题排查点 #

1. 移除重复的Git初始化操作 #

你的Git命令中执行了git init，但流水线里checkout: self已经完成了本地仓库的初始化与代码拉取，重复执行git init会重置本地仓库配置，直接导致persistCredentials注入的凭证失效。需删除git init步骤。

2. 确保persistCredentials的执行顺序 #

必须让checkout: self步骤在所有Git操作步骤之前运行，且流水线中不能有其他checkout步骤覆盖当前仓库的凭证配置。正确的YAML结构示例：

steps:
  - checkout: self
    persistCredentials: true
  - script: |
      git config --global user.email "email@org.com"
      git config --global user.name "DevOps Upload"
      git remote add devops https://org@dev.azure.com/org/Project/_git/$Repo
      git add -A
      git commit -m "Terraform Scaffolding"
      git push -u devops --all 
    displayName: 'Push to target repo'

3. 正确使用System.AccessToken变量 #

若手动传入凭证，需使用Azure DevOps预定义变量$(System.AccessToken)（而非$System_AccessToken），并修正Git远程仓库URL格式：

git remote add devops https://$(System.AccessToken)@dev.azure.com/org/Project/_git/$Repo

同时要在流水线的变量设置中，开启System.AccessToken的「允许脚本访问」权限（默认关闭）。

4. 验证Build Service账号权限 #

• 确认授权的是项目级Build Service账号（格式：[项目名称] Build Service ([组织名称])），而非组织级账号
• 给该账号分配目标Git仓库的Contributor或更高权限，确保权限为「允许」状态，且无「拒绝」项覆盖
• 权限设置路径：仓库设置 → 权限 → 搜索Build Service账号 → 调整权限

5. 禁用Git交互提示 #

在执行Git命令前添加以下配置，避免因交互提示被禁用导致的认证失败：

git config --global core.askPass ""
git config --global credential.helper ""

额外注意事项 #

• 若使用自托管代理，需确保代理机器的Git版本≥2.28，避免旧版本的凭证缓存问题
• 流水线中有多步Git操作时，不要在不同步骤中修改同一仓库的远程配置，防止凭证被覆盖

内容的提问来源于stack exchange，提问作者Masterchiefxx17