Azure DevOps身份校验请求在Cloud Foundry部署后返回Forbidden问题排查

1. 检查认证凭据的权限范围 #

两个API对权限的要求存在差异：

• 标签权限请求（/permissions）一般仅需项目/集合级的权限管理读取权限即可正常调用
• 身份查询请求（/identities）属于VSPS（Visual Studio Platform Service）专属端点，需要明确的Identity读取权限：
  • 若使用PAT认证，确认PAT已勾选Identity (read)权限，且权限范围设置为**集合级（Collection）**而非仅项目级
  • 若使用Azure AD服务主体，确认服务主体在Azure DevOps集合中被授予Project Collection Valid User及以上角色，同时Azure AD应用注册中已添加Azure DevOps的User.Read或Identity.Read.All权限

2. 验证CF环境的网络与请求头传递 #

• 确认CF部署环境的出站网络可正常访问vssps.dev.azure.com，不存在防火墙、代理拦截该域名请求的情况
• 检查ASP.NET Core代码中，向Azure DevOps发送请求时是否正确传递了Authorization头（如Bearer {token}或Basic {PAT编码}），可在CF应用日志中添加调试日志，输出请求头信息，确认认证头未被CF路由或中间件修改、移除

3. 核对请求参数与端点一致性 #

• 确保CF环境中发送的/identities请求参数与本地完全一致：searchFilter=General、filterValue=MyMail@mydomain.com、queryMembership=expanded，排查是否因环境变量替换导致参数错误
• 确认端点域名无误，避免将vssps.dev.azure.com误写为dev.azure.com（二者为不同的服务端点）

4. 排查CF应用的身份上下文差异 #

• 本地开发时可能使用当前登录用户的身份（如通过Azure CLI或Visual Studio自动认证），而CF部署时使用的是服务身份（PAT/服务主体），二者的权限范围可能存在差异
• 直接在CF环境中用本地的PAT通过curl调用该API测试，若能成功，则说明代码中存在认证凭据加载问题（如环境变量未正确读取）

5. 检查Azure DevOps的组织/集合权限设置 #

• 确认目标用户（MyMail@mydomain.com）确实存在于Azure DevOps集合中，且所用认证凭据有权限读取该用户信息
• 检查Azure DevOps集合的权限设置，确认未限制服务身份读取身份数据的权限

内容的提问来源于stack exchange，提问作者Tomtom