Azure Pipeline构建ANZ项目Docker镜像时私有NuGet源访问失败求助

问题背景 #

测试AspNetZero（ANZ）Angular 16版本模板，在Azure Pipeline中构建Docker镜像时，引用存放在Azure Artifact Feed（"shared"项目级源）的自定义NuGet包失败。本地Visual Studio可正常构建，但Pipeline执行Dockerfile内的dotnet build命令时，持续抛出错误：

error NU1301: Unable to load the service index for source https://my_valid_feed_url

已尝试操作：

• 为"Project Collection Build Service"和"ANZ Build Service"账号授予Feed的Contributor权限
• 配置NuGet.config
• 发现Dockerfile中输出的VSS_NUGET_EXTERNAL_FEED_ENDPOINTS变量password为空，无法确定是Azure脱敏还是未获取到凭据

分步解决方案 #

1. 确保Pipeline正确传递凭据到Docker容器 #

Azure Pipeline的NuGetAuthenticate任务会自动生成包含私有源凭据的VSS_NUGET_EXTERNAL_FEED_ENDPOINTS变量，但需要确保该变量传递到Docker构建环境：

• 在Docker构建任务前添加NuGetAuthenticate任务，勾选"shared"项目的目标Feed
• 在Docker构建任务的Build arguments中添加：--build-arg VSS_NUGET_EXTERNAL_FEED_ENDPOINTS=$(VSS_NUGET_EXTERNAL_FEED_ENDPOINTS)

2. 修正Dockerfile中的NuGet处理逻辑 #

• 无需手动编写NuGet.config，NuGetAuthenticate任务会自动生成临时配置并注入到环境中，dotnet restore/build会自动读取
• 如果必须使用自定义NuGet.config，确保配置中的源名称与Azure Artifact Feed的名称完全一致，避免凭据匹配失败

3. 验证服务账号权限的正确性 #

• 确认添加的是项目级的"ANZ Build Service"账号（而非组织级），并在"shared"项目的Artifact Feed权限中授予Reader权限（仅读取包无需Contributor）
• 进入Feed的"权限"页面，搜索该账号确认权限状态为"已分配"

4. 排查VSS_NUGET_EXTERNAL_FEED_ENDPOINTS为空问题 #

• 在NuGetAuthenticate任务之后、Docker构建之前添加echo $(VSS_NUGET_EXTERNAL_FEED_ENDPOINTS)任务，查看变量是否有值：
  • 若为空，说明NuGetAuthenticate未识别到目标Feed，需检查任务的feedsToUse配置是否勾选了"shared"项目的Feed
  • Azure不会自动脱敏该变量内容，为空则代表凭据未正确生成，需排查项目服务连接的权限配置

5. 替代方案：手动使用PAT传递凭据 #

如果自动注入机制失效，可创建一个拥有Packaging Read权限的PAT：

• 在Pipeline中添加保密变量NUGET_PAT，值为创建的PAT
• Docker构建参数添加：--build-arg NUGET_PAT=$(NUGET_PAT)
• 修改Dockerfile，手动添加源并注入凭据：

  RUN dotnet nuget add source https://my_valid_feed_url --name shared-feed --username dummy --password $NUGET_PAT --store-password-in-clear-text
  

内容的提问来源于stack exchange，提问作者user1011627