Azure DevOps：PR触发的SecretScan流水线如何检出触发仓库

问题根源 #

当前流水线里的checkout: self只会检出存储该流水线的共享仓库，而非触发PR的目标项目仓库，导致SecretScan仅扫描共享仓库代码，无法覆盖PR对应的目标仓库内容。

解决方案 #

1. 修改流水线的检出步骤 #

把固定的checkout: self替换为动态检出PR对应的目标仓库分支，利用Azure DevOps预定义变量获取PR相关信息：

stages:
- stage: SecretScan
  displayName: 扫描项目敏感信息
  jobs:
  - job: Secret_Scan
    displayName: 敏感信息扫描
    pool:
      vmImage: 'windows-latest'
    steps:
    # 替换原checkout步骤，动态拉取PR合并后的代码
    - checkout: git://$(System.TeamProject)/$(Build.Repository.Name)@refs/pull/$(System.PullRequest.PullRequestId)/merge
      persistCredentials: true
    - task: UseDotNet@2
      displayName: '使用DotNet 3.1.x'
      inputs:
        version: 3.1.x
    - task: UseDotNet@2
      displayName: '使用DotNet 5.0.x'
      inputs:
        version: 5.0.x
    - task: UseDotNet@2
      displayName: '使用DotNet 6.0.x'
      inputs:
        version: 6.0.x
    - task: MicrosoftSecurityDevOps@1
      displayName: '微软安全DevOps扫描'
      inputs:
          categories: 'secrets'
          break: true

2. 配置流水线权限 #

确保存储共享流水线的项目拥有访问所有目标项目仓库的权限：

• 进入Azure DevOps组织设置 -> 项目集合权限
• 找到存储共享流水线的服务账户，赋予其项目集合贡献者权限，或针对每个目标仓库单独设置读取权限

3. 验证PR触发逻辑 #

在目标仓库的PR设置中，确保已将共享流水线配置为PR必填检查项，并且触发条件设置为：

• 当PR提交到dev分支时自动触发该共享流水线

关键变量说明 #

• $(System.TeamProject): 触发PR的目标项目名称
• $(Build.Repository.Name): 触发PR的目标仓库名称
• $(System.PullRequest.PullRequestId): 当前PR的ID，用于拉取PR合并后的预览分支

内容的提问来源于stack exchange，提问作者objectclass