为何部分用户无需凭据即可使用Team Services编程访问？

咱们先明确核心问题：升级到VS2017和Visual Studio Team Services（现Azure DevOps Server）后，部分用户/服务账户运行源码控制自动化工具时，因凭据缓存可直接通过验证，但其他用户每次都需手动输入凭据，你的测试应用也复现了这个差异。

先帮你把测试代码格式化好：

using System;
using Microsoft.TeamFoundation.Client;
using Microsoft.TeamFoundation.VersionControl.Client;

namespace VSTSTest
{
    class Program
    {
        static void Main(string[] args)
        {
            try
            {
                if (args.Length > 0)
                {
                    var projectCollectionUrl = args[0];
                    var projectCollection = new TfsTeamProjectCollection(new Uri(projectCollectionUrl));
                    var versionControlServer = (VersionControlServer)projectCollection.GetService(typeof(VersionControlServer));
                    Console.WriteLine("AuthorizedUser: {0}", versionControlServer.AuthorizedUser);
                }
                Console.WriteLine("Usage is {projectCollectionUrl}");
            }
            catch (Exception e)
            {
                Console.WriteLine(e);
            }
            Console.ReadLine();
        }
    }
}

为什么会出现凭据缓存差异？ #

这主要和VS2017及VSTS采用的凭据存储机制有关，核心原因有这几个：

• Windows凭据管理器缓存：VS2017会把VSTS凭据存在Windows凭据管理器（路径：控制面板→用户账户→凭据管理器→Windows凭据）里。那些无需输入凭据的用户/服务账户，大概率已经通过VS、VSTS CLI或其他工具完成过一次登录，凭据被自动缓存了。
• 服务账户的特殊配置：服务账户通常使用域账户或托管身份，可能在部署时就配置了持久化凭据，或是通过组策略自动注入了VSTS访问权限，不需要手动输入。
• TFS客户端的凭据查找逻辑：你的测试代码用的TfsTeamProjectCollection会优先调用系统内的凭据提供器，如果用户没有缓存凭据，就会触发交互式凭据提示。
• 组件版本的细微差异：你提到用的是VS2017 Team Explorer的15.x版本dll，或是NuGet的Microsoft.TeamFoundationServer.ExtendedClient，不同版本的客户端组件在凭据查找逻辑上可能有小差别，但核心还是缓存问题。

解决办法：统一凭据处理逻辑 #

要让所有用户/场景都不用手动输入凭据，可以从这几个方向着手：

1. 强制调用凭据缓存
   修改测试代码，显式指定凭据存储并主动触发身份验证，避免交互式提示：

   // 在创建TfsTeamProjectCollection前添加凭据缓存配置
   var credentials = new VssCredentials();
   credentials.Storage = new VssClientCredentialStorage();
   var projectCollection = new TfsTeamProjectCollection(new Uri(projectCollectionUrl), credentials);
   // 主动触发身份验证，优先使用缓存凭据
   projectCollection.EnsureAuthenticated();
   

2. 指导用户手动缓存凭据
   让需要输入凭据的用户打开VS2017，连接到目标VSTS项目完成一次登录，凭据会自动存入Windows凭据管理器，之后运行工具就不用再输入了。

3. 服务账户的凭据持久化配置
   针对服务账户，可通过以下方式配置持久化凭据：

   • 如果用到Git，执行git config --global credential.helper wincred来启用凭据缓存
   • 手动在Windows凭据管理器中添加VSTS通用凭据，目标地址填https://<你的账户名>.visualstudio.com，用户名填账户名，密码用个人访问令牌（PAT）

4. 用个人访问令牌（PAT）替代交互式登录
   自动化场景推荐用PAT，比普通密码更安全，也更容易持久化：

   var pat = "你的个人访问令牌";
   var credentials = new VssBasicCredential(string.Empty, pat);
   var projectCollection = new TfsTeamProjectCollection(new Uri(projectCollectionUrl), credentials);
   

验证步骤 #

• 对有问题的用户，先检查Windows凭据管理器里是否有vsts或visualstudio.com相关的条目
• 运行修改后的测试代码，确认是否还会触发凭据提示
• 用PAT方式测试，验证是否能绕过交互式登录

内容的提问来源于stack exchange，提问作者J M