GitLab CI/CD使用PAT认证失败问题求助

错误核心 #

认证失败报错指向Git拉取仓库时的HTTP Basic权限问题，结合2FA启用场景，核心是令牌格式、权限或变量传递错误。

排查与解决步骤 #

1. 确认PAT权限与有效性 #

• 生成的Personal Access Token (PAT)必须勾选read_repository权限（私有仓库拉取必备），若涉及写入需额外勾选write_repository。
• 确保token是启用2FA后生成的，且未过期、未被撤销。

2. 修正Dagger模块URL的认证格式 #

GitLab HTTPS认证的正确格式无需额外前缀，直接使用令牌作为用户名部分：

dagger -m https://${GITLAB_PAT}@gitlab.com/username/repo-name.git call test --source=.

• 若使用GitLab CI内置临时令牌CI_JOB_TOKEN（仅能访问当前CI项目仓库），格式为：

  dagger -m https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/username/repo-name.git call test --source=.
  

3. 验证CI变量传递 #

• 确认GITLAB_PAT已在GitLab项目的Settings > CI/CD > Variables中配置，勾选Masked（防泄露）和Protected（若分支为保护分支）。
• 可临时在脚本中添加echo ${GITLAB_PAT}调试，确认变量非空且完整（调试后删除该行）。

4. 部署令牌的正确用法 #

若使用部署令牌，需用GitLab生成的专用用户名（如gitlab+deploy-token-xxxx）搭配令牌密码：

dagger -m https://<部署令牌用户名>:<部署令牌密码>@gitlab.com/username/repo-name.git call test --source=.

部署令牌需提前在项目Settings > Repository > Deploy tokens中创建，并勾选read_repository权限。

5. SSH方式备选 #

若HTTPS认证始终异常，可切换为SSH方式：

1. 生成SSH密钥对，将公钥添加到项目Settings > Repository > Deploy Keys（勾选Read repository）。
2. 将私钥作为SSH_PRIVATE_KEY变量添加到GitLab CI（勾选Masked）。
3. 在.dagger的before_script中添加SSH配置：

   - mkdir -p ~/.ssh
   - echo "${SSH_PRIVATE_KEY}" > ~/.ssh/id_rsa
   - chmod 600 ~/.ssh/id_rsa
   - ssh-keyscan gitlab.com >> ~/.ssh/known_hosts
   

4. Dagger模块URL改用SSH格式：

   dagger -m git@gitlab.com:username/repo-name.git call test --source=.
   

内容的提问来源于stack exchange，提问作者Shailesh B