无法通过PAT令牌调用Azure DevOps REST API的问题求助

针对你遇到的PAT明明能正常发布Nuget/NPM包，但调用REST API却返回401的问题，按以下步骤逐一排查：

1. 补全组织名称（最容易忽略的点） #

你的脚本里$organization = ""是空值，这会导致请求URL无效，直接触发权限验证失败。必须填写你的Azure DevOps组织名称（比如https://dev.azure.com/MyCompany里的MyCompany）。

2. 验证PAT的权限范围与有效期 #

• 即使是“完全访问”PAT，也要确认创建时是否勾选了对应API的权限：
  • 变量组API需要Distributed Task > Variable Groups (Read & manage)权限
  • 项目查询API需要Project and Team > Projects (Read)权限
• 检查PAT是否过期：Azure DevOps默认PAT有效期为30天，过期后即使权限正确也会返回401。

3. 检查Base64编码是否正确 #

确保编码时开头的冒号:没有遗漏，且PAT本身没有多余空格或换行。可以手动验证编码结果：

$testPAT = "你的PAT令牌"
$encoded = [System.Convert]::ToBase64String([System.Text.Encoding]::ASCII.GetBytes(":$testPAT"))
Write-Output $encoded

用这个编码后的字符串在Postman里测试API，确认是否能正常访问，排除PowerShell脚本的问题。

4. 修正请求头格式 #

确保Authorization头的Basic后面有且只有一个空格，避免格式错误：

$headers = @{
    Authorization = "Basic $encodedToken"  # 注意Basic和编码值之间的空格
}

5. 清理多余请求参数（针对GET请求） #

项目查询的GET请求不需要请求体，你的脚本里多余的$jsonbody可能干扰请求，直接删除即可，修正后的查询脚本：

$organization = "你的组织名称"
$token = "你的PAT令牌"
$encodedToken = [System.Convert]::ToBase64String([System.Text.Encoding]::ASCII.GetBytes(":$token"))
$url = "https://dev.azure.com/$organization/_apis/projects?api-version=7.1-preview.4"
$headers = @{ Authorization = "Basic $encodedToken" }
Invoke-RestMethod -Uri $url -Method GET -Headers $headers -ContentType application/json

6. 排查网络因素 #

如果是企业环境，可能代理服务器拦截了Authorization头，试试添加代理配置：

[System.Net.WebRequest]::DefaultWebProxy.Credentials = [System.Net.CredentialCache]::DefaultCredentials

或者换非企业网络测试，排除防火墙/代理的影响。

7. 验证POST请求的JSON格式（针对变量组导入） #

变量组的JSON必须符合Azure DevOps要求的格式，示例如下：

{
  "name": "MyVariableGroup",
  "variables": {
    "DBConnectionString": {
      "value": "Server=...;Database=..."
    },
    "ApiKey": {
      "value": "abc123"
    }
  },
  "type": "Vsts"
}

如果JSON格式错误，部分场景下权限验证前的格式校验失败会伪装成401错误。

内容的提问来源于stack exchange，提问作者albbla91