调用Azure DevOps REST API使用PAT认证返回重定向跳转登录页问题咨询

原有curl命令失败原因 #

你当前使用的curl命令传参错误：Azure DevOps的PAT认证中，-u :<PAT>语法要求传入原始未编码的PAT字符串，curl会自动完成用户名+密码的base64编码。你传入了已经编码的${B64_PAT}会导致认证信息校验失败，服务端返回登录页重定向。

Java服务端设备流调用Azure DevOps API实现步骤 #

前置准备 #

首先在Azure AD中注册公共客户端应用，配置委托权限下的vso.project.read（可按需扩展其他Azure DevOps权限），并开启应用的公共客户端开关，适配无浏览器的设备流认证场景。

实现步骤 #

• 第一步：引入MSAL4J（微软官方Azure AD认证SDK）依赖

<dependency>
    <groupId>com.microsoft.azure</groupId>
    <artifactId>msal4j</artifactId>
    <version>1.13.8</version>
</dependency>

• 第二步：编写设备流认证与API调用代码

import com.microsoft.aad.msal4j.*;
import okhttp3.OkHttpClient;
import okhttp3.Request;
import java.util.Collections;
import java.util.function.Consumer;

public class AdoDeviceAuthDemo {
    // Azure DevOps固定资源scope
    private static final String ADO_SCOPE = "499b84ac-1321-427f-aa17-267ca6975798/.default";
    // 替换为你的Azure AD租户ID
    private static final String TENANT_ID = "YOUR_TENANT_ID";
    // 替换为你注册的公共客户端应用ID
    private static final String CLIENT_ID = "YOUR_CLIENT_ID";
    // 替换为你的Azure DevOps组织名称
    private static final String ADO_ORG = "YOUR_ORG_NAME";

    public static void main(String[] args) throws Exception {
        // 初始化公共客户端实例
        PublicClientApplication pca = PublicClientApplication.builder(CLIENT_ID)
                .authority("https://login.microsoftonline.com/" + TENANT_ID)
                .build();
        
        // 设备流回调：输出用户验证指引
        Consumer<DeviceCode> deviceCodeConsumer = deviceCode -> System.out.println(deviceCode.message());

        // 发起设备流认证，获取访问令牌
        DeviceCodeFlowParameters parameters = DeviceCodeFlowParameters
                .builder(Collections.singleton(ADO_SCOPE), deviceCodeConsumer)
                .build();
        IAuthenticationResult authResult = pca.acquireToken(parameters).join();
        String accessToken = authResult.accessToken();

        // 调用Azure DevOps接口
        callAdoProjectsApi(accessToken);
    }

    private static void callAdoProjectsApi(String accessToken) throws Exception {
        OkHttpClient client = new OkHttpClient();
        Request request = new Request.Builder()
                .url("https://dev.azure.com/" + ADO_ORG + "/_apis/projects?api-version=6.0")
                .addHeader("Authorization", "Bearer " + accessToken)
                .build();
        try (okhttp3.Response response = client.newCall(request).execute()) {
            System.out.println("接口返回结果：" + response.body().string());
        }
    }
}

• 第三步：执行验证
  运行代码后控制台会输出认证指引，按照提示用有权限访问Azure DevOps组织的账号，访问指定地址输入设备码完成验证，即可正常获取接口返回结果，不会再触发登录页重定向。

避免重定向的通用注意事项 #

• 认证头前缀要匹配：PAT认证用Basic前缀，OAuth2令牌认证用Bearer前缀，前缀错误会直接触发重定向
• 如果是IP限制的Azure DevOps组织，需要将服务端出口IP加入组织的允许访问列表
• 确认使用的账号/应用已被添加到目标Azure DevOps组织，且有对应接口的访问权限

内容的提问来源于stack exchange，提问作者Ricardo Jl Rufino