如何限制外部用户访问Azure DevOps仓库特定分支？

你当前的问题出在项目级读者权限覆盖了分支权限——Azure DevOps的权限规则是「范围越大的权限优先级越高，且允许权限会累加，除非设置明确的拒绝」。项目级的读者权限会让用户默认能访问项目下所有仓库的所有分支，哪怕你移除了分支的读者权限也没用。

正确的配置步骤如下：

1. 移除项目级的宽泛权限 #

• 打开项目的「项目设置」→「权限」
• 找到你创建的外部用户组，移除它的「读者」角色（或直接把该组从项目权限列表中删除）

2. 给目标仓库设置基础访问权限 #

• 进入目标仓库的「仓库设置」→「安全」
• 添加你的外部用户组，给它分配读者权限（仅针对当前仓库，而非整个项目），这样用户能访问仓库的非限制分支。

3. 限制特定分支的访问 #

• 在仓库的「分支」页面，找到要限制的目标分支（比如main），点击分支右侧的「...」→「分支安全」
• 在分支安全设置中，找到你的外部用户组，将读取权限设置为拒绝（拒绝权限的优先级高于所有允许权限）
• 其他不需要限制的分支，保持默认权限即可（继承仓库级的读者权限）

额外检查点 #

• 确认用户没有通过其他组（比如组织级的共享组、其他项目组）继承到该仓库的访问权限
• 测试时用外部用户账号登录，验证是否只能访问允许的分支，无法查看被限制的分支

内容的提问来源于stack exchange，提问作者Abhishek kumar Jha