如何让GitLab流水线作业向默认仓库推送变更？

1. 给作业添加仓库写入权限 #

GitLab流水线作业默认仅拥有仓库内容的读取权限，即便CI_JOB_TOKEN有效，也无法推送变更。需在.gitlab-ci.yml的作业配置中显式声明写入权限：

your_job_name:
  script:
    # 你的推送脚本
  permissions:
    contents: write

该配置支持GitLab 14.0及以上版本，无需额外创建令牌，直接赋予作业写入仓库的权限。

2. 消除Git交互式密码询问 #

之前的could not read Password错误，是因为CI环境无交互，Git尝试弹出密码输入框导致失败。可通过两种方式规避：

• 直接在git push中使用带令牌的完整URL，跳过remote配置：

  git config user.name "GitLab CI"
  git config user.email "ci-bot@${CI_SERVER_FQDN}"
  git checkout ${CI_COMMIT_BRANCH}
  echo "This is a change" >>change.txt
  git add .
  git commit -m "Commit message for the changes."
  # 禁用交互式密码询问
  git config --global core.askPass ""
  # 直接推送
  git push "https://oauth2:${CI_JOB_TOKEN}@${CI_SERVER_HOST}/${CI_PROJECT_PATH}.git" "${CI_COMMIT_BRANCH}"
  

• 或配置Git使用无交互凭证助手：

  git config --global credential.helper store
  

3. 确认CI_JOB_TOKEN的使用范围 #

CI_JOB_TOKEN仅能在当前项目的流水线内使用，无法跨项目推送。如果你的复用组件是用于单项目场景，上述步骤即可解决；若需跨项目，才需考虑项目访问令牌，但不符合你复用的需求，建议限定组件在单项目内使用。

4. 修正分支变量的使用 #

若流水线由tag触发，${CI_COMMIT_BRANCH}变量会为空，需改用${CI_COMMIT_REF_NAME}获取当前分支或tag名称，避免checkout失败。

内容的提问来源于stack exchange，提问作者filou97