GitLab跨项目依赖拉取权限异常及CI/CD令牌配置问题求助

1. 检查CI/CD作业令牌的双向权限配置 #

你提到已将Project2加入Project1的作业令牌允许列表但仍报错，需确认以下双向配置：

• 在Project1的设置 > CI/CD > 令牌权限中，勾选"允许作业令牌访问此项目中的项目"，并确保Project2的完整路径（如app/mobile-applications/utility-modules/Project2）已正确添加到允许列表
• 在Project2的设置 > CI/CD > 令牌权限中，勾选"允许来自受信任项目的作业令牌访问"，并将Project1添加到信任项目列表
• 注意：GitLab 15.9及以上版本要求跨项目作业令牌访问必须双向配置，老版本仅需发起方配置，请对应你的实例版本检查

2. 修正package.json的依赖URL格式 #

确保依赖URL携带CI_JOB_TOKEN认证信息，且指定明确的分支/标签/提交哈希：

"dependencies": {
  "project2": "git+https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.myserver.io/app/mobile-applications/utility-modules/Project2.git#main"
}

• CI_JOB_TOKEN是GitLab CI默认注入的环境变量，无需手动添加
• 必须指定分支/标签/哈希，否则yarn无法确定拉取的版本

3. 用部署令牌替代作业令牌（通用方案） #

若作业令牌配置始终无法生效，部署令牌是更稳定的替代方案：

1. 在Project2的设置 > 仓库 > 部署令牌中创建令牌，勾选read_repository权限，记录生成的用户名和令牌值
2. 在Project1的CI/CD变量中添加DEPLOY_TOKEN_USER和DEPLOY_TOKEN_PASS，值为上述用户名和令牌
3. 修改package.json的依赖URL：

"dependencies": {
  "project2": "git+https://${DEPLOY_TOKEN_USER}:${DEPLOY_TOKEN_PASS}@gitlab.myserver.io/app/mobile-applications/utility-modules/Project2.git#main"
}

• 该方案不受跨项目作业令牌的权限限制，支持多Runner场景

针对你的疑问解答 #

1. 是否可使用gitlab-runner用户下载依赖？ #

不建议。gitlab-runner是Runner服务的系统用户，权限过大且无法做细粒度权限控制。CI作业默认使用临时的CI_JOB_TOKEN身份，而非gitlab-runner用户身份。若要使用用户身份，应创建仅含仓库读取权限的专用机器人用户，但部署令牌是更轻量的选择。

2. 多Runner场景的适配 #

上述两种方案（正确配置的作业令牌、部署令牌）均支持多Runner，无需专属Runner。只要Project1的CI变量配置正确，所有能执行该项目作业的Runner都能获取到认证信息并拉取依赖。

额外排查步骤 #

• 检查Project1和Project2所属Group/Subgroup的权限设置，确保CI作业使用的身份（CI_JOB_TOKEN或部署令牌）拥有Project2的仓库读取权限
• 在CI作业中手动执行git clone https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.myserver.io/app/mobile-applications/utility-modules/Project2.git，验证是否能成功克隆，以此定位是yarn配置问题还是权限问题

内容的提问来源于stack exchange，提问作者Ishan Hettiarachchi