调用GitHttpClient.CreateAnnotatedTagAsync时出现VS30063授权错误

这个问题我之前帮别人排查过，核心原因大概率是PAT权限不足或者标签对象的属性设置有小细节没处理好，咱们一步步来解决：

1. 先排查PAT的权限配置 #

你前面调用的GetRepositoryAsync和GetTagRefsAsync都是只读操作，只需要Git的Read权限就能正常执行，但创建标签属于写入操作，需要额外的Write权限。

你得去Azure DevOps的PAT管理页面（用户头像→个人资料→安全→个人访问令牌），找到当前用的这个PAT，确保Git权限勾选了Write（或者至少包含创建标签的相关权限）。如果之前只给了Read权限，那肯定会触发这个权限错误。

2. 核对GitAnnotatedTag对象的属性细节 #

你的标签对象大部分设置是对的，但有几个地方可以再确认：

• ObjectId和TaggedObject.ObjectId要确保是你要打标签的完整提交SHA值，别用短SHA，避免匹配失败。
• TaggedObject.ObjectType设为GitObjectType.Commit是正确的，如果你是给提交打标签的话。
• TaggedBy里的名称和邮箱最好和你的Azure DevOps账号信息一致，虽然不是强制要求，但能避免一些潜在的权限校验问题。
• Url属性可以直接去掉，这个字段是服务端返回的，客户端创建标签时不需要指定。

调整后的标签对象示例：

var tag = new GitAnnotatedTag { 
    Name = "tagname", 
    Message = "A new tag", 
    TaggedBy = new GitUserDate { Name = "你的账号名称", Email = "你的账号邮箱", Date = DateTime.Now }, 
    ObjectId = "完整的提交SHA", 
    TaggedObject = new GitObject { ObjectId = "完整的提交SHA", ObjectType = GitObjectType.Commit }
};

3. 优化CreateAnnotatedTagAsync的参数（可选） #

你现在传的是项目名称"PROJECT"，可以换成项目ID试试，有时候名称可能存在大小写、空格或者别名问题，用ID调用更可靠：

var projectClient = vssConnection.GetClient<ProjectHttpClient>();
var project = await projectClient.GetProjectAsync("PROJECT");
await gitClient.CreateAnnotatedTagAsync(tag, project.Id, sourceRepo.Id);

4. 快速验证权限的小技巧 #

如果还是不确定问题在哪，可以先在Azure DevOps网页端手动创建一个标签：

• 如果网页端能成功创建，说明账号本身有权限，问题出在代码里的PAT配置或者参数；
• 如果网页端也创建失败，那就是你的账号在项目里的权限不足，需要联系项目管理员调整。

内容的提问来源于stack exchange，提问作者Talal Yousif