Azure DevOps Pipeline发布Gradle包到Artifact Feed遇403权限问题求助

以下是针对你遇到的403权限错误的具体排查和解决步骤：

1. 确认构建服务账号的权限配置 #

• 进入Azure DevOps的Artifacts Feed设置，切换到「权限」标签页
• 确保你添加的是项目级构建服务账号：[Project] Build Service ([Org])，并将其权限设置为Contributor（或更高权限如Publisher）
• 检查是否存在权限继承冲突：如果父级权限设置了「拒绝」，会覆盖当前Feed的允许权限，需确保无拒绝规则影响该账号

2. 修正Gradle认证配置 #

使用System.AccessToken时，Azure Artifacts仅验证令牌有效性，用户名可留空或使用任意占位符，无需填写构建服务账号的显示名。修改build.gradle.kts的credentials部分：

credentials {
    username = System.getenv("AZURE_DEVOPS_USER") ?: "" // 留空或填任意字符串
    password = System.getenv("AZURE_DEVOPS_ACCESS_TOKEN")
}

3. 确保Pipeline能访问OAuth令牌 #

在Azure Pipeline的作业设置中，勾选**「允许脚本访问OAuth令牌」**：

• 编辑Pipeline，进入Build作业的「代理作业」设置
• 找到「附加选项」，勾选该选项，确保$(System.AccessToken)能被正确注入到环境变量中

4. 验证权限的调试技巧 #

在Pipeline中添加一个脚本步骤，用curl测试令牌的权限（替换占位符为你的实际信息）：

steps:
  - script: |
      curl -u :$(System.AccessToken) https://pkgs.dev.azure.com/[Org]/[Project]/_packaging/maven-private/maven/v1/[groupId]/shared/maven-metadata.xml
    displayName: 'Test Feed Access'

如果返回200，说明令牌权限正常，问题出在Gradle配置；如果返回403，说明还是权限配置的问题。

5. 其他排查点 #

• 如果你的Feed是组织级而非项目级，需给Organization Build Service ([Org])账号添加Contributor权限
• 检查Feed版本覆盖设置：如果该版本已被发布过，Azure Artifacts默认禁止覆盖，需在Feed设置中开启「允许覆盖已发布的包版本」
• 确认Gradle的publish任务名称与配置一致，确保你调用的publish任务正确指向了目标Publication和Repository

内容的提问来源于stack exchange，提问作者Emil Wihlander