如何不使用PAT且无需每次交互调用Azure DevOps REST接口

完全可以满足需求，核心采用Azure AD设备代码流+刷新令牌机制，仅首次需要一次交互式登录授权，后续全程无交互调用接口，不需要每次触发登录流程。

核心原理 #

• 首次授权时通过设备码流程引导用户在浏览器完成Azure AD账号登录，一次性获取两类令牌：
  • access_token：访问令牌，默认有效期1小时，用于直接调用Azure DevOps REST接口
  • refresh_token：刷新令牌，默认有效期90天（可通过Azure AD租户策略调整），用于在访问令牌过期时静默换取新的访问令牌和刷新令牌
• 只要刷新令牌未被吊销、未过期，后续所有接口调用、令牌续期都可以自动完成，不需要任何人工交互
• 授权时需要为Azure AD应用授予Azure DevOps的user_impersonation委托权限，登录账号本身需要拥有目标Azure DevOps组织的对应操作权限（和原PAT所属账号权限保持一致即可）

Postman环境配置步骤 #

• 提前在Azure AD中注册一个公共客户端应用：
  • 重定向URI配置为https://oauth.pstmn.io/v1/callback
  • 开启「公共客户端」选项
  • 为应用添加Azure DevOps的user_impersonation委托权限，无需管理员同意即可使用
• 在Postman中打开目标Azure DevOps请求，切换到Authorization标签页，授权类型选择OAuth 2.0
• 配置令牌参数：
  • Grant type选择Device Code
  • Access Token URL填写https://login.microsoftonline.com/{你的Azure AD租户ID}/oauth2/v2.0/token
  • Client ID填写之前注册的Azure AD应用的客户端ID
  • Scope填写https://app.vssps.visualstudio.com/user_impersonation offline_access，必须携带offline_access参数，否则无法获取刷新令牌实现自动续期
• 点击「Get New Access Token」，按弹出的提示在浏览器输入设备码、登录对应Azure AD账号，完成首次授权
• 授权完成后Postman会自动存储令牌，后续发送请求时会自动将令牌添加到请求头，同时可开启「Auto-refresh token」选项，令牌过期后会自动静默续期，无需重复操作
• 接口调用时会自动使用Authorization: Bearer {access_token}请求头，替换原来PAT对应的Basic认证头即可，其他请求参数无需修改

C#环境实现步骤 #

直接使用微软官方Microsoft.Identity.Client NuGet包处理令牌获取、缓存、自动续期逻辑，无需手动实现令牌刷新流程，核心实现代码如下：

using Microsoft.Identity.Client;

// 初始化公共客户端，全局仅需初始化一次
var publicClientApp = PublicClientApplicationBuilder
    .Create("替换为你的Azure AD应用客户端ID")
    .WithTenantId("替换为你的Azure AD租户ID")
    .WithDefaultRedirectUri()
    .Build();

// 定义权限范围，必须携带offline_access获取刷新令牌
string[] scopes = { "https://app.vssps.visualstudio.com/user_impersonation offline_access" };
AuthenticationResult authResult = null;
var cachedAccounts = await publicClientApp.GetAccountsAsync();

try
{
    // 优先尝试用本地缓存的令牌静默获取新的访问令牌，无交互
    authResult = await publicClientApp.AcquireTokenSilent(scopes, cachedAccounts.FirstOrDefault())
        .ExecuteAsync();
}
catch (MsalUiRequiredException)
{
    // 仅首次无有效缓存、刷新令牌过期/被吊销时，才会触发设备码交互流程
    authResult = await publicClientApp.AcquireTokenWithDeviceCode(scopes, deviceCodeResult =>
    {
        // 输出提示引导用户完成首次浏览器登录，仅触发一次
        Console.WriteLine(deviceCodeResult.Message);
        return Task.CompletedTask;
    }).ExecuteAsync();
}

// 构造HttpClient调用DevOps接口
using var httpClient = new HttpClient();
// 替换鉴权头为Bearer令牌格式
httpClient.DefaultRequestHeaders.Authorization = 
    new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", authResult.AccessToken);

// 原有接口调用逻辑无需修改，例如调用构建列表接口：
// var apiResponse = await httpClient.GetAsync("https://dev.azure.com/{组织名}/{项目名}/_apis/build/builds?api-version=7.1");

可通过自定义令牌缓存将刷新令牌持久化到本地文件、数据库中，程序重启后只要缓存的刷新令牌有效，就不会再次触发交互式登录。

其他方案说明 #

不推荐使用服务主体+客户端密钥的无交互方案：该方案需要单独为服务主体配置Azure DevOps组织权限，多数企业Azure AD策略会限制服务主体访问DevOps资源，且权限管控灵活性远低于用户委托令牌方案。
不要使用Azure DevOps短期会话令牌：该类令牌有效期仅数小时，过期后必须重新交互登录，无法满足长期无交互调用的需求。

内容的提问来源于stack exchange，提问作者Learner