GitLab Runner环境变量隐藏失效：去除格式后Renovate导入GPG密钥失败

问题场景 #

在GitLab v17.6.1-ee中配置RENOVATE_GIT_PRIVATE_KEY环境变量时，为了让变量能被掩码隐藏，我移除了密钥里的空格、换行符，以及首尾的-----BEGIN PGP PRIVATE KEY BLOCK-----和-----END PGP PRIVATE KEY BLOCK-----标识，结果执行GPG导入命令时出现以下错误：

ExecError: Command failed: gpg --batch --no-tty --import /tmp/git-private-gpg.key
gpg: no valid OpenPGP data found.
gpg: Total number processed: 0

但如果保留密钥的完整格式（包含首尾标识和换行），以可见变量配置时就能正常导入。

原因分析 #

• GPG对导入的密钥格式有严格要求：首尾的标识行是GPG识别有效PGP密钥的必要标记，缺失后GPG无法判定这是合法的密钥数据。
• PGP密钥采用Base64分段编码，换行是编码结构的一部分，移除换行后会破坏密钥的编码完整性，导致GPG无法解析。
• GitLab的变量掩码不需要破坏密钥结构，只要变量值是敏感字符串，GitLab会自动处理掩码，没必要删除关键格式内容。

解决方法 #

1. 保留密钥完整结构，转义换行符适配单行变量 #

不要删除首尾标识，只需要把密钥中的每一行换行替换为\n转义字符，将密钥转为单行字符串后配置到环境变量中。这样既保留了GPG需要的完整格式，又能让GitLab识别为单行变量并实现掩码隐藏。

示例格式：

-----BEGIN PGP PRIVATE KEY BLOCK-----\nlQcYBGeY2+0BEADNxZwFoLPU13ZQ4QqYPa5ZAtO2pGSVeHjWOj0EJmJNhySV/mXp\nIjhDOX09ObpUg2AvPSHdA3uG7f764K10GI2SEg0iyzZZoKpGJlbakvwgnl1eR8D/\n...\n-----END PGP PRIVATE KEY BLOCK-----

2. 确认变量解析逻辑 #

Renovate在使用该环境变量时，会自动将\n转义字符还原为实际的换行符，写入临时密钥文件后GPG就能正常识别并导入。

内容的提问来源于stack exchange，提问作者Wojciech Rak