Azure DevOps Pipeline推送NuGet包至GitHub时401未授权错误排查

核心问题分析 #

手动执行dotnet nuget push成功但Pipeline报错，说明权限本身有效，问题出在Azure DevOps任务对GitHub Packages的认证适配逻辑上。

排查步骤 #

• 核对服务连接配置
  使用Basic Auth模式时，服务连接的用户名必须是GitHub用户名，密码填PAT，且PAT需勾选write:packages权限（无需全权限，遵循最小权限原则）。同时确认Feed URL为https://nuget.pkg.github.com/[你的组织名]/index.json，路径不能有误。
• 检查任务参数冲突
  NuGetAuthenticate@0会自动修改NuGet.config注入认证信息，此时NuGetCommand@2的publishFeedCredentials参数可能与之冲突，可尝试移除该参数，改用手动指定Feed URL的方式。
• 验证NuGet.config内容
  在Pipeline中添加命令行任务，执行type $(Build.SourcesDirectory)/NuGet.config（Windows代理）或cat $(Build.SourcesDirectory)/NuGet.config（Linux/macOS代理），查看NuGetAuthenticate是否正确添加了GitHub Feed的源和认证节点。

可行解决方案 #

方案1：移除NuGetAuthenticate，直接指定ApiKey #

跳过NuGetAuthenticate任务，在NuGetCommand@2中直接配置ApiKey和Feed URL：

- task: NuGetCommand@2
  displayName: Publish to GitHub Packages Nuget Feed
  inputs:
    command: 'push'
    nuGetFeedType: 'external'
    packagesToPush: '$(Common.TestResultsDirectory)/NuGet/*.*nupkg'
    versioningScheme: 'byEnvVar'
    versionEnvVar: $(GitVersion.SemVer)
    includeSymbols: true
    buildProperties: 'description=test'
    feedPublishUrl: 'https://nuget.pkg.github.com/[你的组织名]/index.json'
    apiKey: $(GitHubPAT) # 将PAT存入Azure DevOps保密变量组
  condition: and(succeeded(), eq(variables['Build.SourceBranch'], 'refs/heads/master'))

方案2：用DotNetCoreCLI替代NuGetCommand #

DotNetCoreCLI@2对GitHub Packages认证的兼容性更好，结合NuGetAuthenticate使用：

- ${{ if parameters.gitHubNuGetExternalFeed }}: 
  - task: NuGetAuthenticate@0
    displayName: 'NuGet Authenticate'
    inputs:
      nuGetServiceConnections: '${{ parameters.gitHubNuGetExternalFeed }}'
    enabled: true

  - task: DotNetCoreCLI@2
    displayName: Publish to GitHub Packages Nuget Feed
    inputs:
      command: 'push'
      packagesToPush: '$(Common.TestResultsDirectory)/NuGet/*.*nupkg'
      nuGetFeedType: 'external'
      publishFeedCredentials: '${{ parameters.gitHubNuGetExternalFeed }}'
      versioningScheme: 'byEnvVar'
      versionEnvVar: $(GitVersion.SemVer)
      includeSymbols: true
    condition: and(succeeded(), eq(variables['Build.SourceBranch'], 'refs/heads/master'))

方案3：手动构造NuGet.config #

完全控制认证信息，避免任务自动注入的问题：

- task: CmdLine@2
  displayName: Create NuGet.config
  inputs:
    script: |
      echo <?xml version="1.0" encoding="utf-8"?> > NuGet.config
      echo <configuration> >> NuGet.config
      echo   <packageSources> >> NuGet.config
      echo     <add key="github" value="https://nuget.pkg.github.com/[你的组织名]/index.json" /> >> NuGet.config
      echo   </packageSources> >> NuGet.config
      echo   <packageSourceCredentials> >> NuGet.config
      echo     <github> >> NuGet.config
      echo       <add key="Username" value="[你的GitHub用户名]" /> >> NuGet.config
      echo       <add key="ClearTextPassword" value="$(GitHubPAT)" /> >> NuGet.config
      echo     </github> >> NuGet.config
      echo   </packageSourceCredentials> >> NuGet.config
      echo </configuration> >> NuGet.config

- task: NuGetCommand@2
  displayName: Publish to GitHub Packages Nuget Feed
  inputs:
    command: 'push'
    nuGetFeedType: 'external'
    packagesToPush: '$(Common.TestResultsDirectory)/NuGet/*.*nupkg'
    versioningScheme: 'byEnvVar'
    versionEnvVar: $(GitVersion.SemVer)
    includeSymbols: true
    buildProperties: 'description=test'
    feedPublishUrl: 'https://nuget.pkg.github.com/[你的组织名]/index.json'
  condition: and(succeeded(), eq(variables['Build.SourceBranch'], 'refs/heads/master'))

关键注意事项 #

• GitHub Packages的NuGet推送，PAT仅需write:packages权限，无需全权限，降低安全风险。
• 确保Azure DevOps代理的NuGet版本为最新，旧版本可能存在认证兼容性问题，可通过NuGetToolInstaller@1任务指定最新版本。

内容的提问来源于stack exchange，提问作者Eric Johnson