在GitLab CI中调用GitLab API时出现401未授权错误

核心问题 #

本地使用组令牌调用GitLab API一切正常，但在CI作业里，无论通过URL参数还是请求头传递令牌，所有API端点都返回401未授权错误。

排查与解决步骤 #

• 确认CI环境中令牌变量的有效性
  在CI脚本里添加echo $TOKEN（保密变量会被GitLab屏蔽输出，但能确认变量是否存在），或者用env命令检查变量是否成功注入。同时要确保组令牌对当前项目拥有足够权限——至少是开发者及以上权限，并且具备修改MR标签的权限。

• 修正curl命令的语法问题
  第一个命令里的&在shell环境中会被解析为后台执行指令，导致private_token=$TOKEN部分被当作单独命令运行，根本没作为URL参数传递给API。必须将整个URL用双引号包裹：

  curl --fail-with-body -X PUT "$CI_API_V4_URL/projects/$CI_PROJECT_ID/merge_requests/$CI_MERGE_REQUEST_IID?add_labels=$LABEL&private_token=$TOKEN"
  

  第二个命令的URL同样建议用双引号包裹，避免变量解析异常：

  curl --fail-with-body -H "PRIVATE-TOKEN:$TOKEN" -X PUT "$CI_API_V4_URL/projects/$CI_PROJECT_ID/merge_requests/$CI_MERGE_REQUEST_IID?add_labels=$LABEL"
  

• 检查CI变量权限与令牌范围
  如果CI作业由受保护分支/标签触发，组令牌变量必须标记为「受保护」，否则不会被注入到作业中。另外创建组令牌时必须勾选api权限范围，没有该权限无法调用GitLab API。

• 先验证令牌的基础认证能力
  在CI作业中先执行一个简单的API请求测试令牌有效性，比如获取当前用户信息：

  curl --fail-with-body -H "PRIVATE-TOKEN:$TOKEN" "$CI_API_V4_URL/user"
  

  如果这个请求也返回401，说明令牌在CI环境中的认证存在问题，重点排查变量传递和权限配置；如果能正常返回，再确认修改MR标签的权限是否配置到位。

内容的提问来源于stack exchange，提问作者Dom