如何在Azure Pipeline中保护任务不被修改并强制执行末尾扫描

针对你提到的装饰器全局注入或按项目过滤受限的问题，以下是几种可行的强制实现方法：

1. 共享模板+严格权限管控 #

• 先在组织级的受保护Git仓库中定义一个包含扫描任务的模板，模板里通过dependsOn: '*'确保扫描作业在所有其他作业完成后执行：

  jobs:
  - job: MandatoryFinalScan
    dependsOn: '*'
    steps:
    - task: YourRequiredScanTask@1
      inputs:
        scanTarget: '$(Build.ArtifactStagingDirectory)'
        # 其他扫描配置参数
  

• 要求所有项目的流水线必须引用这个模板，同时通过Azure DevOps的权限设置：
  • 限制普通用户仅能查看流水线YAML，无法编辑；
  • 只有管理员有权修改模板仓库内容和流水线的模板引用配置。
• 这样用户既不能删除扫描任务，也无法修改其配置，且任务会自动在所有作业末尾运行。

2. 自定义Azure Policy校验 #

• 创建自定义Azure Policy规则，校验流水线YAML中是否包含指定的扫描任务，且该任务的作业依赖设置正确（确保在末尾）。
• 将Policy的效果设置为Deny，当用户提交不符合要求的流水线配置时，直接拒绝流水线运行；也可搭配Audit效果记录违规情况。
• 通过Policy的作用范围（指定特定项目、流水线名称前缀等），精准控制需要强制添加任务的流水线，避免全局覆盖的问题。

3. 服务器端Webhook自动注入 #

• 利用Azure DevOps的Webhook和REST API，实现流水线触发前的自动检查与任务注入：
  • 配置Webhook监听流水线的build.requested事件；
  • 当事件触发时，调用API检查流水线配置中是否存在目标扫描任务，若不存在则自动添加到末尾，并设置该任务的依赖为所有现有作业；
  • 同时通过权限设置，禁止用户手动修改这个自动注入的任务。
• 这种方式可以自定义过滤逻辑（比如按项目名称、流水线类型筛选），灵活控制需要应用的范围。

核心注意事项 #

• 权限管控是基础：必须严格限制普通用户对流水线配置、模板仓库、Policy配置的编辑权限，从根源上防止任务被修改或删除；
• 依赖关系要明确：无论用哪种方法，都要确保扫描任务的dependsOn设置正确，保证它在所有用户定义的作业之后执行。

内容的提问来源于stack exchange，提问作者Abhishek Rai