如何调整VSTS REST API权限，限制POST请求但保留GET请求？

针对你要限制POST请求、保留GET正常生效的需求，我给你梳理几个实用方案，具体选哪个看你的部署场景：

方案1：利用Azure DevOps内置权限精细控制（云/本地通用） #

VSTS（现在叫Azure DevOps）的每个REST API操作都绑定了对应的权限，你可以针对用户/组，移除所有POST操作相关的权限，但保留GET对应的权限。

• 操作步骤：
  • 进入Azure DevOps组织/项目的Project Settings > Permissions
  • 找到目标用户或组，针对具体的资源（比如工作项、构建、发布等）：
    • 对于GET操作对应的权限（比如「View work items in this node」「View build definitions」），确保权限设置为Allow
    • 对于POST操作对应的权限（比如「Edit work items in this node」「Create build definitions」），设置为Deny
• 注意：这个方法需要逐个梳理每个POST API对应的权限，适合需要精细控制不同资源的场景，但如果要全局限制所有POST请求，操作会比较繁琐。

方案2：用反向代理拦截POST请求（适合有代理层的场景） #

如果你的VSTS实例通过反向代理（比如NGINX、Apache）对外暴露，可以直接在代理层配置规则，拒绝所有针对VSTS API路径的POST请求。

以NGINX为例，添加如下配置段：

location /apis/ {
    # 拦截所有POST请求，返回403禁止访问
    if ($request_method = POST) {
        return 403 "POST requests are not permitted for VSTS API";
    }
    # 转发GET等其他请求到VSTS实例
    proxy_pass https://your-vsts-instance-url/apis/;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
}

这个方法简单粗暴，能快速实现全局POST拦截，适合不需要精细权限控制的场景。

方案3：通过Azure API Management（APIM）限制请求方法（云版推荐） #

如果你的VSTS API通过Azure APIM对外提供服务，可以在APIM的API策略中添加入站规则，直接阻止POST请求：

<inbound>
    <base />
    <!-- 检查请求方法是否为POST，若是则返回403 -->
    <choose>
        <when condition="@(context.Request.Method.Equals("POST", StringComparison.OrdinalIgnoreCase))">
            <return-response>
                <set-status code="403" reason="Forbidden" />
                <set-body>POST requests to VSTS API are restricted</set-body>
            </return-response>
        </when>
    </choose>
</inbound>

这个方案适合云版Azure DevOps，能结合APIM的其他功能（比如流量控制、日志），同时实现请求方法的限制。

测试验证 #

配置完成后，用curl或Postman测试：

• 发送GET请求到任意VSTS API端点，应该正常返回数据
• 发送POST请求，应该收到403/401的拒绝响应，且不会返回任何业务数据

内容的提问来源于stack exchange，提问作者user2856017