GitLab CI_JOB_TOKEN在Package.json依赖中认证失败求助

环境信息 #

• GitLab版本：17.6.2-ee（旗舰订阅，自托管）
• 项目类型：React Native（pr-service）
• 包管理器：Yarn 1.22.22
• Runner配置：最新版macOS的MacStudio，Shell执行器
• 依赖引用：package.json中依赖同GitLab服务器的私有仓库，格式如下：

  "react-native-square-pos": "git+https://gitlab-ci-token:${CI_JOB_TOKEN}@git.ourowncloud.io/app/react-native-square-pos.git"
  

错误现象 #

执行yarn install时触发HTTP Basic认证失败，错误日志显示变量未被解析（被当作字面量传递）：

$ yarn install
yarn install v1.22.22
[1/4] Resolving packages...
error Command failed.
Exit code: 128
Command: git
Arguments: ls-remote --tags --heads https://gitlab-ci-token:%24%7BCI_JOB_TOKEN%7D@git.ourowncloud.io/app/react-native-square-pos.git
Directory: /Users/mobileappbuilder/.colima/default/builds/t2_RoTZgC/0/app/mobile-applications/pronto-service
Output:
remote: HTTP Basic: Access denied. If a password was provided for Git authentication, the password was incorrect or you're required to use a token instead of a password. If a token was provided, it was either incorrect, expired, or improperly scoped. See https://git.ourowncloud.io/help/topics/git/troubleshooting_git.md#error-on-git-fetch-http-basic-access-denied
fatal: Authentication failed for 'https://git.ourowncloud.io/app/react-native-square-pos.git/'

已验证的无效操作 #

• 将pr-service添加到react-native-square-pos的Job Token权限允许列表
• 授权所有组/项目访问react-native-square-pos
• 尝试多种依赖字符串格式（如去掉变量大括号、直接用令牌作为用户名）
• 通过.npmrc配置_authToken=${CI_JOB_TOKEN}
• 用变量引用个人令牌（${PAT_VAR}）替代CI_JOB_TOKEN

已验证的可行操作 #

• 流水线中直接执行git clone https://gitlab-ci-token:${CI_JOB_TOKEN}@git.ourowncloud.io/app/react-native-square-pos.git成功
• 硬编码个人令牌到package.json依赖字符串中成功

核心原因 #

Yarn解析package.json中的Git URL时，不会自动展开环境变量（包括GitLab CI变量），变量会被当作字面量传递给Git，导致认证失败。而直接在CI脚本中执行git命令时，shell会先解析变量，因此可以成功。

方案1：动态替换package.json中的变量（推荐） #

在CI流水线中先替换package.json里的变量为实际令牌，再执行yarn install：

# macOS环境下替换变量（生成备份文件避免出错）
sed -i.bak "s/git+https:\/\/gitlab-ci-token:\${CI_JOB_TOKEN}@git.ourowncloud.io\/app\/react-native-square-pos.git/git+https:\/\/gitlab-ci-token:${CI_JOB_TOKEN}@git.ourowncloud.io\/app\/react-native-square-pos.git/" package.json
# 执行依赖安装
yarn install
# 可选：恢复原始package.json（若后续步骤需要）
mv package.json.bak package.json

方案2：预配置Git凭证 #

通过Git凭证助手自动注入令牌，无需修改package.json：

# 配置Git临时存储凭证
git config --global credential.helper 'store --file ~/.git-credentials'
# 写入CI_JOB_TOKEN凭证
echo "https://gitlab-ci-token:${CI_JOB_TOKEN}@git.ourowncloud.io" >> ~/.git-credentials
# 执行yarn安装
yarn install
# 安全清理凭证
rm ~/.git-credentials
git config --global --unset credential.helper

注：此方案需要把package.json中的依赖改为不带令牌的格式："react-native-square-pos": "git+https://git.ourowncloud.io/app/react-native-square-pos.git"

方案3：使用GitLab私有包仓库托管依赖 #

将react-native-square-pos发布到GitLab私有包仓库，通过包名引用更规范：

1. 在react-native-square-pos项目中发布包到GitLab Registry
2. 在pr-service的CI中配置.npmrc：

   echo "@your-group:registry=https://git.ourowncloud.io/api/v4/packages/npm/" >> .npmrc
   echo "//git.ourowncloud.io/api/v4/packages/npm/:_authToken=${CI_JOB_TOKEN}" >> .npmrc
   

3. 修改package.json依赖为：

   "react-native-square-pos": "@your-group/react-native-square-pos@1.0.0"
   

内容的提问来源于stack exchange，提问作者Ishan Hettiarachchi