通过JavaScript从TFS获取工作项时遇401权限错误求助

看起来你在用原生JavaScript调用TFS的工作项查询API时碰到了401未授权错误，我来帮你梳理几个核心问题和修复方案：

1. 认证方式不匹配或凭证无效 #

TFS/Azure DevOps Server的API认证有几个常见坑：

• 密码可能已失效或受限：如果你的账号开启了MFA（多因素认证），直接用密码调用API会失败，这时候推荐用**个人访问令牌(PAT)**代替密码。生成PAT时要勾选Work Items相关的读权限。
• XMLHttpRequest的认证参数：用PAT的话，用户名可以填任意值（甚至空字符串），密码字段填你的PAT即可。
• 基本认证是否启用：检查TFS服务器是否开启了基本认证，如果是域环境的NTLM认证，浏览器端的XMLHttpRequest处理起来会比较麻烦，建议通过后端代理请求来规避。

2. 请求体的JSON格式错误 #

你手动拼接的请求体有JSON语法问题：JSON要求对象的键和字符串必须用双引号，而你用了单引号包裹外层对象，这会导致服务器无法正确解析请求，间接可能引发认证相关的错误（服务器无法识别有效请求时也可能返回401）。

正确的做法是用JSON.stringify自动生成符合规范的请求体：

var body = JSON.stringify({
  query: "select * from workitems where [Change Number] = 'CH-0000433'"
});

3. URL与API版本的细节问题 #

• 确保URL包含完整的协议头（http://或https://），<SERVER_NAME>替换成实际的服务器地址。
• 可以尝试升级API版本到3.0或更高，旧版本的API可能有认证逻辑差异。
• 检查团队项目名称Testing%20Services的URL编码是否正确，确保没有拼写错误。

修正后的完整示例代码 #

var res = new XMLHttpRequest();
// 用JSON.stringify生成合规的请求体
var body = JSON.stringify({
  query: "select * from workitems where [Change Number] = 'CH-0000433'"
});

// 替换为你的PAT和服务器地址
var pat = "your-personal-access-token";
var serverUrl = "https://<SERVER_NAME>/tfs/InternalApplications/Testing%20Services/_apis/wit/wiql?api-version=3.0";

res.open("POST", serverUrl, true, "", pat);
res.setRequestHeader('Content-type', 'application/json');

// 添加回调处理结果
res.onload = function() {
  if (res.status >= 200 && res.status < 300) {
    console.log("查询结果:", JSON.parse(res.responseText));
  } else {
    console.error("请求失败，状态码:", res.status, "信息:", res.statusText);
  }
};

res.send(body);

额外注意事项 #

• 不要在前端代码中直接暴露PAT，这会带来严重的安全风险，建议通过后端服务代理API请求。
• 如果是企业内部域环境的TFS，可能需要配置CORS允许你的前端域名访问，否则即使认证正确也可能被浏览器拦截。

内容的提问来源于stack exchange，提问作者Руслан Багманов