使用System.AccessToken创建PR遇403权限问题求助

结合你的场景（其他API正常、个人PAT可成功、已配置Build Service仓库全权限），重点排查以下几个容易遗漏的点：

1. 确认配置权限的Build Service账号是否正确 #

Azure DevOps里有两类Build Service身份：

• 项目级：[组织名] Build Service ([项目名])（Pipeline默认使用的身份）
• 组织级：[组织名] Build Service
  如果你的权限配给了组织级账号，但Pipeline实际用的是项目级的，就会出现403。去仓库权限设置页，找到项目级的Build Service账号，确认它的「创建拉取请求」等核心权限是「允许」状态。

2. 检查目标分支的专属权限限制 #

即使仓库给了全权限，如果目标分支设置了分支权限策略，比如限制只有特定角色能向该分支发起PR，Build Service账号可能被排除在外：

• 进入仓库的「分支」页面，找到目标分支（比如main）
• 点击分支右侧的「...」→「分支权限」
• 确认[组织名] Build Service ([项目名])账号拥有「创建拉取请求」的权限

3. 验证Pipeline的OAuth令牌访问权限是否开启 #

虽然你说其他API正常，但还是要确认Pipeline的脚本访问令牌开关是否打开：

• 打开你的Pipeline编辑页面，点击右上角「...」→「管道设置」
• 勾选「允许脚本访问OAuth令牌」（这个开关控制System.AccessToken是否能被脚本读取）

4. 检查分支参数的格式是否正确 #

你的脚本里拼接分支时用了refs/heads/$source_branch，如果传入的source_branch参数本身已经包含refs/heads/前缀（比如你传的是refs/heads/feature/test），就会导致最终的分支路径错误，触发权限校验失败。确认传入的分支参数只有分支名（比如feature/test），不要带前缀。

5. 临时关闭草稿PR验证 #

脚本里设置了isDraft = $true，虽然理论上草稿PR权限和普通PR一致，但可以临时改成isDraft = $false，调用API试试能不能成功，排除草稿PR的特殊权限限制。

6. 打印令牌权限进行验证 #

在你的PowerShell脚本里加一段代码，调用API查看当前令牌的实际权限，确认是否包含创建PR的权限：

# 新增：检查当前令牌的权限
$permission_url = "$base_url/permissions?api-version=7.0"
$perm_response = Invoke-RestMethod -Uri $permission_url -Method Get -Headers @{
    "Authorization" = "Basic $encoded_PAT";
    "Content-Type" = "application/json"
}
Write-Host "Current permissions: $($perm_response | ConvertTo-Json)"

运行后查看输出的权限详情，确认是否有pullrequest_create相关的权限。

你的现有代码参考 #

调用Pipeline任务

- task: PowerShell@2
    displayName: create_pull_request
    inputs:
      filePath: 99_cicd/scripts/create_pr/create_pull_request.ps1
      arguments: '
        -source_branch "[SOURCE]" 
        -target_branch "[TARGET]" 
        -pr_title "TEST Merge " 
        -pr_description "Platzhalter"
        '
      workingDirectory: '$(Agent.BuildDirectory)/s/'
    env:
      repository_name: $(Build.Repository.Name)
      org_url: $(System.CollectionUri)
      project_name: $(System.TeamProject)
      SYSTEM_ACCESSTOKEN: $(System.AccessToken)

被调用脚本

param(
    [string] $source_branch,
    [string] $target_branch,
    [string] $pr_title,
    [string] $pr_description
)

$org_url = $env:org_url
$project_name = $env:project_name
$repository_name = $env:repository_name

# encode Access Tokens for REST API Use
$bytes_PAT = [System.Text.Encoding]::ASCII.GetBytes(":$env:SYSTEM_ACCESSTOKEN")
$encoded_PAT = [System.Convert]::ToBase64String($bytes_PAT)

$base_url = "$org_url/$project_name/_apis/git/repositories/$repository_name"

# Create the JSON Body for the Pull Request
$jsonBody = @{
    "sourceRefName" = "refs/heads/$source_branch";
    "targetRefName" = "refs/heads/$target_branch";
    "title" = $pr_title;
    "description" = $pr_description;
    "isDraft" = $true
} | ConvertTo-Json

# Define the API URL to create the Pull Request
$api_url = "$base_url/pullrequests?api-version=7.0"

try{
    write-Host "Creating PR"
    $response = Invoke-RestMethod -Uri $api_url -ErrorAction Stop -Body $jsonBody -Method Post -Headers @{
        "Authorization" = "Basic $encoded_PAT";
        "Content-Type" = "application/json"
    }
    Write-Host "PR created successfully: $($response.url)"
} catch {
    Write-Host "StatusCode:" $_.Exception.Response.StatusCode.value__ 
    Write-Host "StatusDescription:" $_.Exception.Response.StatusDescription
    Write-Host "Error details: $($_.Exception.Message)"
}

内容的提问来源于stack exchange，提问作者Horst724