如何通过GitPython使用服务主体OAuth令牌克隆Azure DevOps Git仓库？

核心问题原因 #

直接将access_token嵌入URL时，GitPython调用git命令时可能因token包含特殊字符（如/、=、&）导致解析异常，或是git命令无法正确识别这种身份验证格式。

解决思路 #

1. 使用GitPython的认证参数传递token（推荐） #

不要把token硬编码在URL里，而是通过clone_from的auth参数传递，用HTTPBasicAuth，其中用户名留空，密码设为access_token：

import git
from requests.auth import HTTPBasicAuth
import requests

# Azure AD认证部分
tenant_id = "SomeTenantID"
auth_url = f"https://login.microsoftonline.com/{tenant_id}/oauth2/token"
data = {
    "grant_type": "client_credentials",
    "client_id": "SomeClientID",
    "client_secret": "SomeSecret",
    "resource": "499b84ac-1321-427f-aa17-267ca6975798/.default"
}
response = requests.post(auth_url, data=data)
response_json = response.json()
access_token = response_json["access_token"]

# 仓库地址（不带token）
repository_url = "https://dev.azure.com/example/repo/_git/repo"
target_directory = "/tmp/repo/"

# 使用auth参数传递token
repo = git.Repo.clone_from(
    repository_url,
    target_directory,
    auth=HTTPBasicAuth("", access_token)
)

2. 对access_token进行URL编码（备选） #

如果坚持用URL嵌入的方式，需要先对token进行URL编码，避免特殊字符干扰：

import urllib.parse
import git
import requests

# ... 前面的认证代码不变 ...
encoded_token = urllib.parse.quote(access_token, safe='')
repository_url = f"https://{encoded_token}@dev.azure.com/example/repo/_git/repo"
repo = git.Repo.clone_from(repository_url, target_directory)

3. 验证服务主体权限 #

确保Azure DevOps项目中已给该服务主体分配了代码读者或更高权限的角色：

• 进入Azure DevOps项目 → 项目设置 → 权限 → 添加工具服务用户（搜索服务主体的名称）
• 给用户分配对应仓库的读取权限

内容的提问来源于stack exchange，提问作者Felix Thein