Azure Pipelines推送标签权限疑问：已有Create tag仍需GenericContribute？

为什么已有Create tag权限仍需Contribute权限？ #

在Azure DevOps的Git权限体系里，Create tag权限仅允许创建标签，但git push origin --tags本质是向远程仓库推送标签引用（refs/tags下的指针），这个推送动作受Contribute权限管控——默认情况下，只有拥有Contribute权限的用户/服务账户，才能修改远程仓库的各类引用（包括分支、标签）。哪怕能创建标签，没有Contribute权限就无法完成推送标签到远程的操作。

Tag sources和git push origin --tags的区别 #

• Tag sources：是Azure Pipelines内置的原生功能，直接调用Azure DevOps服务端API创建标签，不走常规Git客户端推送流程。这个操作只需要仓库的Create tag（或对应标签管理）权限，不需要Contribute权限，因为它是在服务端直接生成标签并写入仓库，跳过了客户端推送引用的步骤。
• git push origin --tags：是标准Git客户端命令，通过HTTP/SSH协议向远程仓库推送本地已创建的标签引用。这个操作遵循Git常规权限模型，必须拥有Contribute权限才能完成，因为它本质是修改远程仓库的引用指针（refs/tags下的条目）。

内容的提问来源于stack exchange，提问作者Will Huang