Azure DevOps Pipeline中SBT构建发布的凭证配置方案咨询

注：官方MavenAuthenticate任务暂不支持SBT场景，以下两种方案均可实现安全认证，无需将凭证提交到代码库。

方案一：动态生成凭证文件（无需修改项目配置） #

该方案和你本地开发的逻辑完全一致，不用修改现有build.sbt配置：

• 首先在Azure DevOps后台生成拥有Package (Read & write)权限的个人访问令牌(PAT)
• 将生成的PAT存入流水线的保密变量，命名为AZURE_ARTIFACTS_PAT，勾选保密选项避免明文泄露
• 在sbt publish执行前添加脚本任务生成凭证文件：
  如果你使用Linux/macOS代理，添加Bash任务：

  mkdir -p ~/.sbt
  cat > ~/.sbt/.credentials << EOF
  realm=Azure Artifacts
  host=pkgs.visualstudio.com
  user=devops
  password=$(AZURE_ARTIFACTS_PAT)
  EOF
  

  如果你使用Windows代理，添加PowerShell任务：

  New-Item -Path ~/.sbt -ItemType Directory -Force
  @"
  realm=Azure Artifacts
  host=pkgs.visualstudio.com
  user=devops
  password=$(AZURE_ARTIFACTS_PAT)
  "@ | Out-File ~/.sbt/.credentials -Encoding utf8
  

• 后续直接执行sbt publish即可正常完成认证发布。

方案二：环境变量传递凭证（无需写入磁盘，安全性更高） #

该方案不需要在代理磁盘上留存凭证文件，安全等级更高：

• 同样先按上述步骤配置好AZURE_ARTIFACTS_PAT保密变量
• 修改build.sbt的凭证配置，新增环境变量读取逻辑，同时保留原有本地文件读取逻辑不影响本地开发：

  publishTo := Some("name-of-feed" at "https://....pkgs.visualstudio.com/...")
  // 优先读取流水线注入的环境变量凭证
  credentials ++= {
    for {
      user <- sys.env.get("AZURE_ARTIFACTS_USER")
      pass <- sys.env.get("AZURE_ARTIFACTS_PAT")
    } yield Credentials("Azure Artifacts", "pkgs.visualstudio.com", user, pass)
  }
  // 保留本地开发用的凭证文件读取逻辑
  credentials += Credentials(Path.userHome / ".sbt" / ".credentials")
  

• 在流水线的SBT任务中注入两个环境变量：
  • AZURE_ARTIFACTS_USER：固定值devops
  • AZURE_ARTIFACTS_PAT：引用你配置的保密变量
• 直接执行sbt publish即可完成发布。

注意事项 #

• PAT权限遵循最小原则，仅勾选Package (Read & write)即可，不需要额外授权
• Azure DevOps会自动掩码保密变量的输出，但仍不要主动在流水线日志中打印PAT相关变量

内容的提问来源于stack exchange，提问作者AnotherMail ForAnotherPurpose