如何通过Azure Pipeline向触发它的GitHub PR回写自定义评论且不暴露PAT

该需求完全可实现，属于Azure Pipelines与GitHub集成的常规支持场景，不存在落地层面的技术障碍。

普遍认知里“必须使用PAT才能回写PR”是片面的，且采用长期PAT的方案恰恰会带来你提到的安全风险：

• 外部PR触发的管线运行，执行的是PR提交者提交的代码，如果将长期PAT作为管线变量注入运行环境，外部贡献者可直接在PR代码中添加逻辑，打印环境内的PAT内容完成窃取，造成不可逆的安全影响。
• 整个回写流程不需要使用暴露给外部PR的长期PAT，依托Azure Pipelines与GitHub的原生OIDC服务连接即可完成全流程安全实现。

该方案从根本上避免了长期凭证暴露给外部PR的问题：

• 在Azure中配置与目标GitHub仓库绑定的OIDC类型服务连接时，可将权限裁剪到最小范围：仅开放对指定仓库PR发表评论的权限，关闭代码写入、PR合并、密钥读取等所有高风险权限。
• 针对来自外部Fork的PR触发的管线运行，Azure默认对运行环境做权限降级：不会将项目内的敏感机密、高权限凭证注入运行环境，仅为管线颁发有效期极短（通常15分钟以内）的临时OIDC令牌。即便该临时令牌被外部PR代码窃取，也会快速失效，且权限仅限发布评论，不会造成长期安全风险。

• 无需编写自定义API调用逻辑，直接在管线任务流中添加Azure官方维护的GitHubComment内置任务，绑定配置完成的OIDC服务连接，将需要回写的自定义内容作为任务输入，即可自动定位触发当前管线运行的PR，完成评论回写。
• 若需要拼接更复杂的自定义内容（如测试覆盖率结果、构建状态摘要），可在管线脚本中读取运行环境临时注入的OIDC令牌，调用GitHub的PR评论接口完成写入，全程不涉及长期PAT的存储与暴露。

内容的提问来源于stack exchange，提问作者Nick Banks