VSTS构建中PowerShell读取秘密PAT生成Base64鉴权串问题求助

问题背景 #

我在VSTS Build中尝试用PowerShell调用VSTS API，采用PAT（个人访问令牌）做身份认证，一开始写了这段代码生成鉴权用的Base64字符串：

$VstsAccessEmail = $Env:VstsAccessEmail
$VstsAccessToken = $Env:VstsAccessToken
$pair = "${VstsAccessEmail}:${VstsAccessToken}"
$base64 = [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($pair))
Write-Host $base64

结果发现生成的Base64串只有前36个字符，本地PowerShell运行却能生成完整的108位字符串。硬编码正确的Base64串后API调用正常，但不替换的话直接调用Invoke-RestMethod会返回401未授权。后来排查发现：当把VstsAccessToken设为构建变量中的秘密变量时，用$Env:根本读不到它的值，设为非秘密变量就正常。

问题根源 #

VSTS Build的秘密变量有个特性：默认不会自动注入到进程的环境变量中，所以用$Env:VstsAccessToken读取时，拿到的是空值或者不完整的内容，导致拼接的$pair字符串缺失token部分，生成的Base64串自然长度不够，最终鉴权失败。

解决方案：通过参数传递秘密变量 #

要在保持token为秘密变量的前提下正常读取它，正确的做法是将秘密变量作为参数传递给PowerShell脚本，而不是通过环境变量读取。这样既能拿到完整的token值，VSTS还会自动对日志中的秘密变量值进行掩码处理，避免泄露。

修改后的PowerShell脚本 #

param(
    [string]$VstsAccessEmail,
    [string]$VstsAccessToken
)

# 生成鉴权Base64串
$pair = "${VstsAccessEmail}:${VstsAccessToken}"
$base64 = [Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($pair))
Write-Host "鉴权串长度: $($base64.Length)"

# 调用VSTS API示例
$apiUrl = "https://dev.azure.com/你的组织/你的项目/_apis/build/builds?api-version=7.1"
$headers = @{ Authorization = "Basic $base64" }
$response = Invoke-RestMethod -Uri $apiUrl -Headers $headers -Method Get
Write-Host "API调用结果: $($response | ConvertTo-Json -Depth 10)"

在VSTS Build任务中配置参数 #

在PowerShell任务的「参数」输入框中，添加以下内容，把构建变量（包括秘密变量）传递给脚本：

-VstsAccessEmail $(VstsAccessEmail) -VstsAccessToken $(VstsAccessToken)

效果验证 #

修改后运行Build任务，日志中会显示鉴权串长度为108（符合预期），API调用不再返回401错误，而且秘密变量的原始值会被VSTS自动掩码，不会出现在日志里，完全符合安全要求。

内容的提问来源于stack exchange，提问作者Kangkan