如何阻止Azure Pipeline在发起Pull Request时自动触发构建？

针对你遇到的无法通过yaml配置阻止PR触发管道（攻击者可修改配置文件）的情况，以下是几个无需依赖仓库内配置的平台级解决方案：

1. 限制管道的触发权限 #

进入目标管道的安全页面（管道详情页右上角「...」→「安全」），配置以下权限：

• 找到「排队构建」权限，将不可信用户/用户组设置为拒绝
• 同时限制「编辑管道」权限，仅授权可信人员修改管道配置
• 此设置会覆盖仓库权限，即使攻击者能修改yaml，也无法触发管道运行

2. 通过分支权限阻断触发 #

在仓库的分支管理页面：

• 选择对应分支（或用通配符匹配PR源分支，如features/*），进入「编辑分支权限」
• 找到「触发构建管道」权限，将不可信用户/组设为拒绝
• 该设置直接限制特定分支上的操作触发管道，无需修改任何yaml配置

3. 启用受保护管道 #

在项目设置的管道→设置中：

• 开启「受保护的管道」选项
• 将目标管道标记为受保护，仅允许授权用户执行或修改管道
• 受保护管道会忽略yaml中的触发配置变更，仅遵循平台级的权限控制，彻底避免攻击者通过修改yaml触发管道

额外注意 #

如果你的场景需要允许部分可信PR触发管道，可以结合分支策略中的构建验证任务，仅让特定用户组发起的PR触发指定的可信管道，同时拒绝其他用户的触发权限。

内容的提问来源于stack exchange，提问作者blister