使用CI_JOB_TOKEN从GitLab Debian包仓库拉取包时认证失败求助

问题背景 #

已完成GitLab Debian仓库的配置（启用API、创建发行版、上传包），但CI任务中通过apt-get update拉取包时返回401 Unauthorized。手动复制CI任务输出的令牌填入本地auth.conf可成功拉取，说明令牌本身有效，问题出在CI环境内的配置执行环节。

解决方案 #

1. 修复auth.conf的写入方式与权限

echo命令可能因转义问题导致令牌写入异常，改用printf更可靠；同时apt要求认证文件必须是600权限（仅所有者可读），否则会忽略认证信息：

# 用printf写入认证信息，避免转义问题
printf "machine <my-gitlab-url> login gitlab-ci-token password %s\n" "${CI_JOB_TOKEN}" > /etc/apt/auth.conf.d/sources.conf
# 设置正确权限
chmod 600 /etc/apt/auth.conf.d/sources.conf

2. 确保仓库URL与认证配置完全匹配

• auth.conf中的machine字段必须是GitLab的根域名（如https://gitlab.example.com），不能包含/api/v4等路径后缀
• 检查sources.list中的仓库URL和codename拼写是否完全正确，避免因笔误导致认证不匹配：

  deb [ signed-by=/usr/local/share/keyrings/<my-codename>-archive-keyring.gpg ] https://<my-gitlab-url>/api/v4/projects/45/packages/debian <my-codename> main
  

3. 排查令牌是否被意外修改

部分CI环境可能会给变量添加不可见字符或引号，先检查令牌的原始内容：

# 查看令牌是否包含多余字符（如首尾引号、换行符）
echo "${CI_JOB_TOKEN}" | cat -A

如果发现令牌首尾有多余字符（比如引号），再用截断处理，否则直接使用原变量写入auth.conf。

4. 调试apt认证过程

启用apt的调试日志，查看认证请求的详细信息：

apt-get update -o Debug::Acquire::http=1

或者用curl模拟apt的请求，验证令牌是否能正常访问仓库：

curl -v --user gitlab-ci-token:"${CI_JOB_TOKEN}" "https://<my-gitlab-url>/api/v4/projects/45/packages/debian/dists/<my-codename>/InRelease"

5. 确认CI_JOB_TOKEN的权限范围

检查项目的CI/CD权限设置：

• 进入项目设置 -> CI/CD -> 权限
• 确保Job token scope中勾选了Packages权限，允许任务令牌访问包仓库

内容的提问来源于stack exchange，提问作者nullromo