如何配置GitLab CI/CD手动部署作业仅允许项目维护者执行？

目前GitLab CI没有直接提供检查用户项目角色的预定义环境变量，但可以通过两种方式实现需求：

方法一：使用GitLab受保护作业（推荐） #

这是最简洁可靠的方式，直接通过GitLab内置权限控制：

• 进入项目的「设置」→「CI/CD」页面，找到「受保护作业」板块
• 输入你的部署作业名称（比如deploy），在「允许执行的角色」下拉框中选择「维护者」
• 保存配置后，只有项目维护者能手动触发该作业，无需修改CI流水线配置

方法二：通过CI脚本调用GitLab API检查角色 #

如果需要在CI配置中做逻辑判断，可以调用GitLab API验证当前用户角色：

1. 先创建一个拥有项目维护者权限的个人访问令牌（PAT），权限勾选read_api，将其存入项目CI变量（比如命名为PROJECT_MAINTAINER_PAT）
2. 在部署作业中添加前置检查脚本，示例配置如下：

deploy:
  stage: deploy
  script:
    # 调用API获取当前用户在项目中的角色等级
    - USER_ROLE=$(curl --silent --header "PRIVATE-TOKEN: $PROJECT_MAINTAINER_PAT" "$CI_API_V4_URL/projects/$CI_PROJECT_ID/members/$CI_USER_ID" | jq -r '.access_level')
    # GitLab角色等级：维护者=40，所有者=50，开发者=30，以此类推
    - if [[ "$USER_ROLE" -lt 40 ]]; then echo "无维护者权限，禁止执行部署作业"; exit 1; fi
    # 此处添加实际部署命令
  rules:
    - if: $CI_JOB_MANUAL
      when: manual
  only:
    - main # 替换为你的受保护分支

注意：方法二中的PAT需要妥善保管，避免泄露；另外需要确保CI runner环境安装了curl和jq工具。

内容的提问来源于stack exchange，提问作者Ishan Hettiarachchi