Azure DevOps Linux代理管道因Root创建目录引发UnauthorizedAccessException

问题核心：Docker默认以root用户运行，挂载宿主机工作目录后，cmake和Parasoft创建的文件/目录归root所有，而Azure DevOps代理用agent用户执行Git拉取，没有权限修改这些root所属资源，引发UnauthorizedAccessException。

下面是几种不用手动执行chown的解决方案：

1. 以宿主机agent用户身份运行Docker容器（推荐） #

直接让容器内进程使用宿主机agent用户的UID和GID运行，这样创建的文件权限和宿主机完全一致，从根源解决权限冲突。

修改后的Bash任务代码：

- task: Bash@3
  displayName: "Run sca"
  inputs:
    targetType: 'inline'
    script: |
      docker run -t \
        -v "$(System.DefaultWorkingDirectory):/host" \
        --platform=linux/amd64 \
        --user $(id -u):$(id -g) \
        -w /host/ \
        containerregistry.azurecr.io/diag/parasoft:2.8.0 \
        /bin/bash -c "\
        cmake -S . -B build -DCMAKE_BUILD_TYPE=Debug && \
        cpptestcli -localsettings /host/parasoft.properties -config \"someconfig\" \
        -bdf /host/build/compile_commands.json -report /host/sca-report -include \"host/src/**/*.cpp\" \
        "

--user $(id -u):$(id -g)会自动获取当前agent用户的UID和GID，容器内进程以此身份运行，生成的build目录、parasoft_workspace等资源都会归agent所有，下次Git拉取就不会有权限问题。

注意：如果Parasoft工具必须以root权限运行，这个方法不适用，换下面的方案。

2. 管道开始前清理root所属资源 #

在管道拉取代码前，先删除上次运行时root创建的目录和文件，避免权限冲突。添加一个DeleteFiles任务：

- task: DeleteFiles@1
  displayName: "Clean root-owned artifacts"
  inputs:
    SourceFolder: '$(System.DefaultWorkingDirectory)'
    Contents: |
      build/
      parasoft_workspace/
      c++test_static_problems.txt

这个方法简单直接，不需要修改Docker或CMake配置，适合工具必须root运行的场景。

3. 在CMake中指定目录权限 #

修改项目的CMakeLists.txt，强制cmake创建的目录使用agent用户权限：

# 在cmake配置前创建build目录并设置权限
file(MAKE_DIRECTORY ${CMAKE_BINARY_DIR})
execute_process(COMMAND chown agent:agents ${CMAKE_BINARY_DIR})

# 或者设置全局权限变量
set(CMAKE_INSTALL_USER agent)
set(CMAKE_INSTALL_GROUP agents)

这种方法需要修改项目代码，适合长期维护的项目，确保每次构建都不会产生权限问题。

内容的提问来源于stack exchange，提问作者thowa