Docker构建时Azure Artifacts Credential Provider无法通过PAT认证

根据你描述的情况，手动配置PAT能正常还原但通过环境变量+Credential Provider失败，核心问题大概率出在Docker构建上下文的环境变量传递、Credential Provider容器内配置或者环境变量格式上，以下是具体排查和解决步骤：

1. 确保环境变量传递到Docker构建阶段 #

Azure流水线的环境变量不会自动进入Docker构建上下文，必须显式通过--build-arg传递，同时在Dockerfile中接收并设置为环境变量：

• 在Azure流水线的Docker Build任务中，添加构建参数：

  --build-arg VSS_NUGET_EXTERNAL_FEED_ENDPOINTS="$(VSS_NUGET_EXTERNAL_FEED_ENDPOINTS)"
  

• 在Dockerfile的build阶段开头添加：

  ARG VSS_NUGET_EXTERNAL_FEED_ENDPOINTS
  ENV VSS_NUGET_EXTERNAL_FEED_ENDPOINTS=$VSS_NUGET_EXTERNAL_FEED_ENDPOINTS
  

  注意：如果你的VSS_NUGET_EXTERNAL_FEED_ENDPOINTS是秘密变量，需要在Azure流水线变量设置中勾选允许在脚本中访问，否则无法传递给--build-arg。

2. 确保Credential Provider在容器内正确安装并配置路径 #

即使你说已安装，Linux容器内可能存在路径或权限问题，建议在Dockerfile中显式安装并指定路径：
在Dockerfile的build阶段添加以下命令：

# 下载并安装Azure Artifacts Credential Provider到Linux默认插件路径
RUN curl -L https://github.com/microsoft/artifacts-credprovider/releases/latest/download/Microsoft.NuGet.CredentialProvider.tar.gz | tar xz -C /root/.nuget/plugins
# 明确指定Credential Provider路径，避免dotnet找不到
ENV NUGET_CREDENTIALPROVIDERS_PATH="/root/.nuget/plugins"

如果你的Docker构建使用非root用户，需要调整路径为对应用户的~/.nuget/plugins，并确保该用户有读写权限。

3. 检查VSS_NUGET_EXTERNAL_FEED_ENDPOINTS的JSON格式 #

这个环境变量必须是严格合法的JSON，常见错误包括引号未转义、数组格式错误，正确格式示例：

{"endpointCredentials": [{"endpoint": "https://pkgs.dev.azure.com/你的组织/_packaging/你的Feed/nuget/v3/index.json", "username": "任意值", "password": "$(你的PAT或System.AccessToken)"}]}

• 注意：username可以是任意字符串（Azure Artifacts不校验这个字段），password对应你的PAT或流水线系统AccessToken
• 在Azure流水线变量中设置时，若用双引号包裹整个JSON，内部的双引号需要转义，或者用单引号包裹整个JSON值。

4. 确保nuget.config与环境变量的源地址完全匹配 #

项目根目录的nuget.config中，私有源的value必须和VSS_NUGET_EXTERNAL_FEED_ENDPOINTS里的endpoint完全一致，示例：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <packageSources>
    <add key="MyPrivateFeed" value="https://pkgs.dev.azure.com/你的组织/_packaging/你的Feed/nuget/v3/index.json" />
    <add key="nuget.org" value="https://api.nuget.org/v3/index.json" protocolVersion="3" />
  </packageSources>
</configuration>

如果地址有细微差异（比如末尾多了斜杠），Credential Provider无法匹配到对应的凭据，导致认证失败。

5. 多阶段构建时的配置注意事项 #

如果使用多阶段Docker构建，务必在restore阶段就完成Credential Provider安装和环境变量配置，不要把这些步骤放在后续阶段，因为dotnet restore只在build阶段执行。

内容的提问来源于stack exchange，提问作者Marcel