能否禁用Azure Functions手动发布 仅允许Azure DevOps流水线发布？

完全可以通过三层配置实现你要的效果，直接拦截Visual Studio的手动Publish请求，避免线上版本和源码库出现差异：

1. 关闭SCM基础身份验证发布入口 #

这是拦截VS手动发布最核心的开关：

• 进入目标Azure Function的Azure Portal管理页，打开「配置」-「常规设置」栏
• 找到SCM Basic Auth Publishing Credentials选项，设置为关闭，保存配置
  Visual Studio默认的手动Publish流程，就是走SCM通道用基本身份验证上传部署包，这个开关关掉之后，所有本地客户端用发布配置文件、用户账号密码发起的基础认证部署请求，会直接被平台返回403拒绝，根本不会进入部署流程。

2. 最小化部署权限分配 #

从身份权限层堵死绕路可能：

• 回收所有普通开发、运维人员在该函数实例/对应资源组上的网站参与者、参与者等带部署写入权限的角色，普通成员仅保留只读、监控类权限，没有修改函数配置、触发部署的权限
• 仅给Azure DevOps Pipeline使用的服务连接对应的服务主体，分配最小权限的函数应用部署参与者角色，确保只有管道的执行身份有合法部署权限
• 同步收紧发布配置文件的下载权限，仅允许部署服务主体和指定管理员账号下载函数的发布配置文件，避免凭证泄露

3. 可选强化配置（高合规场景用） #

如果要彻底堵死所有绕路可能，可以再加两层配置：

• 进入函数的「部署中心」，将部署源直接绑定为对应的Azure DevOps Pipeline，开启仅允许CI/CD管道部署开关，平台会自动校验部署请求的来源，非绑定管道的请求直接拦截
• 给函数的SCM部署站点单独配置IP访问规则，仅将Azure DevOps部署代理的IP段加入允许列表，其余公网IP全部拒绝访问SCM部署端点，就算有人拿到了合法部署凭证，不在允许IP段也无法发起部署

配置完成后可以直接验证：用Visual Studio加载之前保存的该函数发布配置，点击Publish会直接报权限错误，部署流程无法启动；而Azure DevOps Pipeline的自动构建发布流程完全不受影响。

内容的提问来源于stack exchange，提问作者Tessaract