为何Azure DevOps PR触发流水线时SonarCloud分析任务授权失败

你遇到的报错ERROR: Not authorized. Please check the properties sonar.login and sonar.password明确指向SonarCloud授权令牌未正确传递，该问题仅出现在PR触发场景，是Azure DevOps对PR运行的流水线默认做了权限收紧导致的，具体原因和排查方案如下：

核心原因 #

1. SonarCloud服务连接权限受限
   Azure DevOps默认禁止PR触发的流水线访问受保护的服务连接，你配置的SonarCloud服务连接如果没有开启PR访问权限，PR运行时就无法读取连接内存储的PAT，导致sonar.login参数为空，触发授权失败。手动、定时触发的流水线不受该限制，因此可以正常拿到令牌运行。
2. 加密变量权限受限
   如果你的SonarCloud PAT是存储在流水线加密变量中，默认加密变量也禁止PR触发的流水线读取，同样会导致令牌缺失。
3. SonarCloud分支访问限制
   部分SonarCloud项目配置了仅允许指定分支推送分析结果，PR触发的分析关联的是临时合并分支，不在允许的分支列表内，会被SonarCloud直接拒绝访问。

排查步骤 #

• 进入Azure DevOps项目的「服务连接」管理页面，找到当前流水线使用的SonarCloud服务连接，打开「安全」标签，开启「允许拉取请求的流水线使用此服务连接」选项。
• 如果使用自定义变量存储PAT，进入流水线的变量配置页，找到对应Sonar令牌变量，开启「允许拉取请求运行时使用此变量」的开关。
• 查看PR触发的流水线中Prepare analysis on SonarCloud任务的输出日志，确认sonar.login参数是否被正常赋值，没有出现空值或占位符。
• 登录SonarCloud对应项目的「配置-权限」页，确认你使用的令牌对应的账号有「执行分析」的权限，没有针对PR分析做额外的分支、IP限制。

内容的提问来源于stack exchange，提问作者ataraxia