使用Azure REST API运行流水线的OAuth2授权及token调用异常问题

1. 核心问题：Token Scope不匹配 #

你用密码流获取的token是针对https://graph.microsoft.com/.default的，这个token仅适用于Microsoft Graph API，无法调用Azure DevOps流水线接口。必须获取Azure DevOps专属的访问令牌。

2. 正确的授权流程（针对Azure DevOps API） #

方式一：使用Azure DevOps OAuth2 JWT Bearer流程（匹配你提供的Token URL） #

前置准备：

• 已在Azure DevOps中注册OAuth应用，拿到client_id
• 生成用于签名的JWT证书（优先推荐，也可使用客户端密钥）

请求Token的参数（POST请求到指定URL）：

POST https://app.vssps.visualstudio.com/oauth2/token
Content-Type: application/x-www-form-urlencoded

client_id={你的客户端ID}
&client_assertion={签名后的JWT断言}
&client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer
&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
&scope=vso.build_execute%20vso.project_read

• 必须包含vso.build_execute权限（启动流水线的核心权限），vso.project_read用于访问项目基础信息

方式二：改用密码流获取Azure DevOps Token（仅临时测试用，不建议生产环境） #

如果坚持用密码流，需修改scope为Azure DevOps专属权限，请求调整如下：

POST https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

grant_type=password
&username={你的用户名}
&password={你的密码}
&client_id={你的客户端ID}
&client_secret={你的客户端密钥}
&scope=https://dev.azure.com/.default

• 注意：获取Token的请求必须是POST，你之前写的GET是错误的

3. 权限验证 #

确保你的账号（或服务主体）在Azure DevOps项目中拥有以下权限：

• 流水线权限：允许"排队构建"（在流水线设置的「权限」面板配置）
• 项目权限：至少拥有「项目参与者」角色或同等权限

4. 正确调用流水线API #

拿到正确的Azure DevOps Token后，调用接口时在请求头携带令牌：

POST https://dev.azure.com/{organization}/{project}/_apis/pipelines/{pipelineId}/runs?api-version=7.2-preview.1
Authorization: Bearer {你的Azure DevOps Token}
Content-Type: application/json

{
  "resources": {
    "repositories": {
      "self": {
        "refName": "refs/heads/main" // 替换为你的目标分支
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者workmichsem