如何以编程方式访问另一个Azure DevOps仓库中的文件？

你这个场景不需要一开始就啃复杂的OAuth2全流程，针对后台程序自动拉取文件的需求，用个人访问令牌（PAT）做鉴权是成本最低、最稳定的方案，具体实现如下：

鉴权方案选型 #

如果是你自己控制的程序定时拉取文件，不需要给第三方用户提供授权入口，完全不用走OAuth2的授权码换token那套流程，PAT鉴权足够用，开发量比OAuth2少90%，权限也可以做精细化控制。只有做多租户、面向其他Azure DevOps用户的SaaS类应用时，才需要接入完整OAuth2流程。

具体实现步骤 #

1. 生成访问用的PAT凭证 #

• 登录你的Azure DevOps账号，进入个人设置下的个人访问令牌管理页
• 新建令牌，授权范围只勾选目标仓库的「代码-读取」权限，不要开多余的写入、管理类权限，令牌过期时间按需设置，建议最长不要超过180天，定期轮换
• 生成后立刻复制保存令牌值，关闭配置页后无法再次查看令牌明文

注意：PAT的权限和你账号的对应权限完全一致，不要硬编码在代码里，不要提交到代码仓库，最好存到系统环境变量或者专用密钥管理服务里。

2. 调用Git Items Get 6.0接口拉取文件 #

接口鉴权用HTTP基础认证即可，认证的用户名字段可以随便填（填空字符串、你的用户名都可以），密码字段填刚才生成的PAT。
如果需要直接获取XML原始内容，不需要文件元数据，请求参数里加上$format=raw即可，接口会直接返回文件的原始文本，不用额外解析JSON、解码base64。
Python调用示例：

import os
import requests
from xml.etree import ElementTree

# 从环境变量读取PAT，避免硬编码
azdo_pat = os.getenv("AZURE_DEVOPS_PAT")
# 替换成你自己的组织、项目、仓库、文件路径、分支信息
api_endpoint = "https://dev.azure.com/你的组织名/你的项目名/_apis/git/repositories/目标仓库名/items"
request_params = {
    "path": "/path/to/your/target.xml", # XML文件在仓库里的相对路径
    "versionDescriptor.version": "main", # 要拉取的分支名
    "versionDescriptor.versionType": "branch",
    "$format": "raw",
    "api-version": "6.0"
}

response = requests.get(
    api_endpoint,
    params=request_params,
    auth=("", azdo_pat) # 基础认证，用户名留空，密码填PAT
)
response.raise_for_status()
# 直接拿到XML原始内容，后续按需解析即可
xml_raw_content = response.text
xml_root = ElementTree.fromstring(xml_raw_content)

其他语言的逻辑完全一致，只要在请求头里携带正确的基础认证信息即可，手动构造认证头的格式参考：
Authorization: Basic <base64编码后的":你的PAT值"字符串>

3. 必须走OAuth2场景的实现逻辑 #

如果你要做的是面向多个Azure DevOps用户的应用，不能用你自己的PAT代表所有用户操作，再考虑OAuth2流程，核心步骤：

• 在Azure AD中注册应用，配置回调地址，拿到客户端ID、客户端密钥
• 配置应用的委托权限，添加代码读取（Code.Read）权限
• 引导用户跳转至授权页完成授权，拿到授权码
• 用授权码向token端点换取access_token
• 调用API时将认证头替换为Authorization: Bearer <拿到的access_token>即可

踩坑提醒 #

• 不加$format=raw参数时，接口默认返回带元数据的JSON结构，文件内容是base64编码存在content字段里的，多一步解码操作，非必要不用这么调
• PAT严格遵循最小权限原则，只给需要的仓库开读权限，不要给全组织全权限，避免令牌泄露带来风险
• 注意接口调用频率限制，不要每秒轮询，按你的文件更新频率设置拉取间隔即可，一般1-10分钟拉取一次不会触发限流
• 私有仓库不支持匿名访问，不带认证信息调用一定会返回401状态码

内容的提问来源于stack exchange，提问作者zhouf