公司VPN下C#控制台用WebClient访问Azure DevOps返回401 Unauthorized如何解决

报错核心原因 #

• Azure DevOps默认开启身份校验，你当前代码中的WebClient未携带任何身份凭据，浏览器能正常访问是因为浏览器已缓存了你登录后的身份信息，控制台应用默认不会自动复用这些凭据。
• 你使用的是本地部署的Azure DevOps Server，默认采用Windows集成身份验证，WebClient默认未开启凭据传递配置。

具体修复方案 #

方案1：复用Windows身份凭据（适配本地部署Azure DevOps场景） #

直接给WebClient配置使用当前系统用户的身份凭据发起请求，代码修改如下：

private static WebsiteDataModel DownloadWebsite(string websiteURL)
{
    WebsiteDataModel output = new WebsiteDataModel();
    WebClient client = new WebClient();
    // 开启使用当前Windows用户的默认凭据
    client.UseDefaultCredentials = true;
    // 如需指定特定账号访问，可替换为如下配置，填写对应的账号、密码、域信息
    // client.Credentials = new NetworkCredential("用户名", "密码", "域");

    output.WebsiteUrl = websiteURL;
    output.WebsiteData = client.DownloadString(websiteURL);

    return output;
}

后续配置任务计划程序定时运行时，需要给计划任务设置有Azure DevOps访问权限的运行账号，否则定时执行时仍会触发401错误。

方案2：使用PAT个人访问令牌（通用方案） #

你可以在Azure DevOps中生成仅拥有构建代理状态读取权限的个人访问令牌，将其配置到请求头中完成身份校验，该方案同时适配本地部署和云版Azure DevOps，代码修改如下：

private static WebsiteDataModel DownloadWebsite(string websiteURL)
{
    WebsiteDataModel output = new WebsiteDataModel();
    WebClient client = new WebClient();
    // 替换为你自己生成的PAT
    string personalAccessToken = "你的PAT值";
    string authInfo = Convert.ToBase64String(System.Text.Encoding.ASCII.GetBytes($":{personalAccessToken}"));
    client.Headers[HttpRequestHeader.Authorization] = $"Basic {authInfo}";

    output.WebsiteUrl = websiteURL;
    output.WebsiteData = client.DownloadString(websiteURL);

    return output;
}

PAT生成时建议只勾选最小必要权限，不要开放多余权限，避免账号安全风险。

内容的提问来源于stack exchange，提问作者Rod