如何用当前SSO用户实例化VssCredential传入WorkItemTrackingHttpClient

你需要通过Azure AD的On-Behalf-Of（OBO，代表用户） 流获取用户本人的Azure DevOps访问令牌，再构造VssCredential，无法直接从ClaimsPrincipal（即你说的当前User对象）直接生成可用的DevOps凭证——默认SSO流程拿到的ID令牌仅用于你自己的应用做登录认证，受众不匹配Azure DevOps，无法直接用于DevOps接口鉴权。

1. 前置AAD应用配置 #

你现有VS SSO模板生成的AAD应用注册，需要先补充DevOps相关权限配置：

• 打开Azure Portal找到你应用对应的AAD注册条目
• 进入「API权限」菜单，选择「添加权限」，在API列表里找到「Azure DevOps」
• 仅勾选委派权限下的user_impersonation（代表已登录用户访问Azure DevOps），不要选任何应用权限——应用权限是租户级全局权限，会绕过用户个人的工单访问权限，不符合需求
• 点击「授予管理员同意」完成权限配置，避免普通用户登录时触发同意失败问题
• 进入「认证」菜单，在「隐式流和混合流」配置块下确认勾选「ID令牌」，保证登录流程能拿到用户身份断言用于后续令牌交换

2. 项目依赖与基础配置 #

先安装必要的NuGet包：

Install-Package Microsoft.Identity.Client
Install-Package Microsoft.TeamFoundationServer.Client
Install-Package Microsoft.VisualStudio.Services.Client

修改Startup.cs里的认证配置，开启下游API令牌获取和缓存能力：

services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches(); // 生产环境可以换成分布式缓存，避免应用重启丢令牌

确保配置文件里的AzureAd节已正确填写租户ID、应用客户端ID、客户端密钥参数。

3. 构造用户身份的VssCredential与WorkItemTrackingHttpClient #

在需要操作工单的控制器/服务中，注入ITokenAcquisition服务，按如下方式获取客户端：

// Azure DevOps全局固定的资源ID，所有租户通用，无需修改
const string AzureDevOpsResourceId = "499b84ac-1321-427f-aa17-267ca6975798";

// 获取当前用户针对Azure DevOps的访问令牌
var accessToken = await _tokenAcquisition.GetAccessTokenForUserAsync(
    new[] { $"{AzureDevOpsResourceId}/.default" }
);

// 用用户令牌构造Vss凭证
var vssCredentials = new VssOAuthCredential(new VssOAuthAccessToken(accessToken));

// 初始化DevOps连接，替换为你公司的Azure DevOps组织地址
using var devOpsConnection = new VssConnection(
    new Uri("https://dev.azure.com/你的公司组织名"), 
    vssCredentials
);

// 拿到工单操作客户端，所有调用都会携带当前用户身份
var workItemClient = devOpsConnection.GetClient<WorkItemTrackingHttpClient>();

4. 权限说明 #

通过上述方式生成的客户端，所有请求都会以当前登录AD用户的身份发送到Azure DevOps：

• 所有工单的读、写权限完全由Azure DevOps侧用户本身的项目/工单权限控制，用户无权限访问的工单会自动返回403，不会出现越权访问问题
• 不需要你在应用层额外实现全量权限逻辑，只要不使用客户端凭据流（即应用身份令牌），就不会绕过DevOps原生的权限校验

常见踩坑点 #

• 不要直接把登录流程拿到的ID令牌传给VssOAuthCredential，该令牌受众是你自己的Web应用，Azure DevOps会直接返回鉴权失败
• 不要使用客户端凭据流获取应用级令牌访问DevOps，该方式会以应用身份操作所有工单，完全绕过用户个人权限
• 必须开启令牌缓存，否则每次请求都触发令牌交换会触发Azure AD的限流规则

内容的提问来源于stack exchange，提问作者PedroC88