Azure DevOps Pipeline调用API遇JSON转换及认证问题求助

一、PowerShell@2任务「JSON值无法转换为System.String」错误修复 #

这个错误大多是因为请求体未被正确序列化为标准JSON字符串，或是变量替换后格式不符合API要求。直接拼接字符串容易出现格式漏洞，建议用PowerShell的ConvertTo-Json生成合规JSON。

正确示例YAML： #

- task: PowerShell@2
  displayName: 调用自研API（PowerShell方式）
  inputs:
    targetType: 'inline'
    script: |
      # 用哈希表构建请求体，直接引用管道变量
      $requestBody = @{
        TeamProject = "$(System.TeamProject)"
        BuildId = "$(Build.BuildId)"
        # 按需添加其他字段
      }

      # 序列化为压缩格式的JSON字符串
      $jsonBody = $requestBody | ConvertTo-Json -Compress

      # 设置请求头，令牌可来自Key Vault或管道预定义变量
      $headers = @{
        "Authorization" = "Bearer $(ApiToken)"
        "Content-Type" = "application/json"
      }

      # 发起API请求
      try {
        $response = Invoke-RestMethod -Uri "https://your-api-url.com/endpoint" -Method Post -Headers $headers -Body $jsonBody
        Write-Host "API响应：$($response | ConvertTo-Json)"
      }
      catch {
        Write-Error "调用失败：$($_.Exception.Message)"
        throw
      }

关键注意事项： #

• 用哈希表构建请求体后转JSON，避免手动拼接导致的语法错误
• 管道变量$(System.TeamProject)和$(Build.BuildId)需用双引号包裹，确保正确解析
• 必须指定Content-Type: application/json，明确告知API请求体格式

二、InvokeRESTAPI@1任务401未授权错误修复 #

401错误核心是Azure Key Vault中的令牌未被正确注入请求，需确保令牌变量被正确加载且格式无误。

修复步骤及示例YAML： #

1. 先添加Azure Key Vault任务，拉取令牌秘密：

- task: AzureKeyVault@2
  displayName: 从Key Vault获取API令牌
  inputs:
    azureSubscription: '你的Azure订阅连接'
    KeyVaultName: '你的Key Vault名称'
    SecretsFilter: 'ApiToken' # 与Key Vault中存储的令牌秘密名称完全一致
    RunAsPreJob: false

2. 配置InvokeRESTAPI@1任务，正确引用令牌变量：

- task: InvokeRESTAPI@1
  displayName: 调用自研API（REST任务方式）
  inputs:
    connectionType: 'generic'
    url: 'https://your-api-url.com/endpoint' # 填写完整API地址
    method: 'POST'
    headers: |
      {
        "Authorization": "Bearer $(ApiToken)",
        "Content-Type": "application/json"
      }
    body: |
      {
        "TeamProject": "$(System.TeamProject)",
        "BuildId": "$(Build.BuildId)"
      }
    waitForCompletion: 'false'

关键注意事项： #

• 确保Azure Key Vault任务的SecretsFilter与秘密名称完全匹配，大小写敏感
• 令牌变量$(ApiToken)直接放在Authorization头中，不要添加多余引号或空格
• 检查Pipeline使用的服务主体（或托管身份）是否拥有Key Vault的「秘密用户」权限，否则无法拉取令牌
• 若使用已配置的服务连接，可选择connectedServiceName类型，在urlSuffix中填写API路径后缀

内容的提问来源于stack exchange，提问作者Leonardo Oliveira