GitLab 17.8.4升级至17.9.1后CI_JOB_TOKEN认证失败求助

问题背景 #

将GitLab从17.8.4升级至17.9.1后，其他功能正常，但在CI任务中通过wget结合CI_JOB_TOKEN直接获取仓库raw文件时认证失败，返回登录重定向页面，无法用于Docker容器构建。相关CI脚本如下：

build-git-baseline:
  stage: build
  image:
    name: ....
    entrypoint: [""]
  variables:
    GIT_STRATEGY: none # 不克隆Git仓库，在脚本中单独处理文件获取
  script:
    - env | sort
    - >
      wget https://gitlab-ci-token:${CI_JOB_TOKEN}@${CI_SERVER_HOST}/${CI_PROJECT_PATH}/-/raw/${CI_COMMIT_SHA}/container/dockerfiles/Dockerfile.git
      -O Dockerfile.git

已尝试手动用curl/wget测试同样失败，但浏览器在已认证状态下访问对应URL正常，暂不想回滚版本，已提交GitLab内部Issue。

调试方法 #

• 验证CI_JOB_TOKEN有效性：在CI脚本中添加curl -v --header "Authorization: Bearer ${CI_JOB_TOKEN}" https://${CI_SERVER_HOST}/api/v4/projects/${CI_PROJECT_ID}，检查token是否能正常调用GitLab API，排除token本身失效或权限不足的问题。
• 检查变量展开正确性：在脚本中输出完整请求URL：echo "Target URL: https://gitlab-ci-token:${CI_JOB_TOKEN}@${CI_SERVER_HOST}/${CI_PROJECT_PATH}/-/raw/${CI_COMMIT_SHA}/container/dockerfiles/Dockerfile.git"，确认CI_COMMIT_SHA、CI_PROJECT_PATH等变量无空值或拼写错误。
• 改用Header传递token：替换URL嵌入认证的方式，改用Bearer Token Header发起请求，脚本修改为：

  wget --header="Authorization: Bearer ${CI_JOB_TOKEN}" https://${CI_SERVER_HOST}/${CI_PROJECT_PATH}/-/raw/${CI_COMMIT_SHA}/container/dockerfiles/Dockerfile.git -O Dockerfile.git
  

• 硬编码URL测试：使用浏览器能正常访问的URL（替换token为当前CI任务的CI_JOB_TOKEN）在CI脚本中测试，确认是否是变量展开或URL格式问题。
• 检查项目CI/CD权限设置：确认项目的「CI/CD设置」中，是否限制了CI_JOB_TOKEN的权限范围，或开启了IP地址白名单导致Runner IP不在允许列表内。

版本变更排查方向 #

• 查阅GitLab 17.9.x版本变更日志，重点关注CI_JOB_TOKEN权限调整、raw文件访问认证逻辑的改动，或HTTP请求处理规则的更新，比如是否禁用了URL中的基础认证（user:pass@host）方式。
• 确认是否有安全补丁导致基础认证方式被限制，GitLab近期是否针对认证机制发布过安全更新，强制要求使用Header传递token。

内容的提问来源于stack exchange，提问作者INS