Azure Pipeline中PowerShell传递CodeQL令牌至STDIN失败求助

以下是针对你遇到问题的排查和解决步骤：

1. 确认GitHub令牌的权限与有效性 #

• 确保你的UPLOAD_TOKEN是GitHub个人访问令牌（PAT），并且必须勾选security_events权限（CodeQL上传扫描结果依赖此权限）。
• 检查令牌是否过期、被撤销，或是权限范围不足（比如针对组织仓库，需确保令牌拥有仓库写入权限或对应组织级权限）。

2. 修正Azure DevOps环境变量的传递逻辑 #

Azure DevOps的机密变量默认不会自动暴露给PowerShell脚本，必须在YAML中显式映射：

steps:
  - powershell: |
      $env:UPLOAD_TOKEN.Trim() | codeql github upload-results `
        --repository=你的组织/你的仓库 `
        --commit=$(Build.SourceVersion) `
        --ref=$(Build.SourceBranchName)
    env:
      UPLOAD_TOKEN: $(UPLOAD_TOKEN) # 将流水线机密变量映射到脚本环境变量

注意：YAML中变量名需与流水线定义的变量完全一致，PowerShell中环境变量大小写不敏感，但拼写错误会导致变量为空。

3. 消除令牌传递时的格式干扰 #

不管用管道还是文件传递，都要避免令牌被添加多余的换行符或空格：

• 管道传递：用Trim()清理令牌内容

  $env:UPLOAD_TOKEN.Trim() | codeql github upload-results --repository=你的组织/你的仓库 ...
  

• 文件传递：写入文件时禁用自动换行

  $env:UPLOAD_TOKEN.Trim() | Out-File -FilePath token.txt -Encoding utf8 -NoNewline
  codeql github upload-results --repository=你的组织/你的仓库 ... --github-auth-stdin < token.txt
  

4. 检查CodeQL命令参数的准确性 #

HTTP 404错误不一定是认证问题，很可能是参数错误：

• 确认--repository参数是组织名/仓库名的正确格式，比如microsoft/vscode。
• 核对--commit和--ref参数是否与流水线当前构建的代码版本完全匹配（可直接使用Azure DevOps内置变量$(Build.SourceVersion)和$(Build.SourceBranchName)）。
• 升级CodeQL CLI到最新稳定版，旧版本可能存在兼容性问题。

5. 调试令牌传递状态 #

在流水线中添加临时调试步骤，验证变量是否正确传递（禁止打印明文令牌）：

if (-not [string]::IsNullOrEmpty($env:UPLOAD_TOKEN)) {
  Write-Host "令牌已成功加载"
} else {
  Write-Host "令牌缺失，请检查变量配置"
}

内容的提问来源于stack exchange，提问作者Daria Łach