如何使用MSAL库获取Azure DevOps REST API认证令牌以查询PAT列表

核心问题定位 #

返回HTML页面本质是请求未通过Azure DevOps的身份校验，被重定向到登录页导致的，代码里存在以下明显错误：

• 配置变量引用错误，clientId、clientSecret、tenantId三个参数被写死成了字符串常量'config.DEFAULT_CLIENT_ID'，没有实际读取配置文件中的有效值，导致获取的访问令牌完全无效
• API地址中的{organization}占位符未替换为实际的Azure DevOps组织名
• 请求参数混用了浏览器Fetch API的属性（mode、cache），Node.js的request-promise库不识别这两个参数，可能导致请求构造异常
• 未指定Accept: application/json请求头，服务端可能默认返回HTML格式的错误页
• 客户端凭证流本身的适配问题：PAT列表是用户维度的资源，客户端凭证流获取的是服务主体身份的令牌，默认没有权限访问用户的PAT数据

修复步骤 #

1. 修正基础参数错误 #

去掉配置变量的引号，替换组织占位符，修改后参数部分代码如下：

// 正确读取配置文件变量，去掉外层引号
const clientId = config.DEFAULT_CLIENT_ID;
const clientSecret = config.DEFAULT_CLIENT_SECRET;
const tenantId = config.DEFAULT_TENANT_ID;

// 替换为实际的Azure DevOps组织名
let url = `https://vssps.dev.azure.com/你的实际组织名/_apis/tokens/pats?api-version=6.1-preview.1`;

2. 调整请求配置 #

删除不支持的参数，补充Accept请求头：

const header = {
    Authorization: apiToken,
    'Accept': 'application/json'
};

const result = await rp({
    url: url,
    json: true,
    headers: header,
    method: 'GET'
});

3. 适配认证流与权限 #

方案A：继续使用客户端凭证流（无用户交互场景）

需要先完成两项权限配置：

• 进入Azure AD应用注册页，找到对应应用，在「API权限」中添加Azure DevOps的user_impersonation权限，并且触发全局管理员同意
• 进入Azure DevOps组织设置，将该应用的服务主体添加为组织成员，授予「项目集合管理员」权限，才有权限读取PAT数据

方案B：切换为用户身份的认证流（推荐）

如果是获取特定用户的PAT列表，替换客户端凭证流为授权码流或设备码流，直接获取绑定该用户身份的访问令牌，令牌权限和用户本人一致，不需要额外给服务主体授权。

4. 补充错误捕获逻辑 #

添加try catch捕获请求异常，打印状态码和错误信息，方便后续排查：

try {
    const result = await rp({
        url: url,
        json: true,
        headers: header,
        method: 'GET',
        simple: false, // 禁用自动抛出非2xx状态码的错误
        resolveWithFullResponse: true // 返回完整响应对象，方便查看状态码
    });
    if (result.statusCode === 200) {
        context.res = { body: result.body };
    } else {
        context.res = { 
            status: result.statusCode,
            body: { error: result.body }
        };
    }
} catch (err) {
    context.log('请求错误:', err);
    context.res = { status: 500, body: err.message };
}

内容的提问来源于stack exchange，提问作者Param