如何在GitLab CI/CD中访问origin/main且避免赋予推送权限

问题描述 #

我在GitLab CI中搭建自动提交质量检查流程，需要遍历合并请求内的所有提交，通过循环git rev-list origin/main..的结果实现逻辑。但Runner默认的克隆不完整，缺少必要的远程refs，导致命令无法正常执行。

目前临时方案是通过${GITLAB_PROJECT_ACCESS_TOKEN}重新设置远程仓库地址并执行全量fetch，但这个token需要额外配置仓库权限，还会附带推送权限，存在安全风险。当前使用的代码如下：

- git remote set-url origin "https://gitlab-ci-token:${GITLAB_PROJECT_ACCESS_TOKEN}@${CI_SERVER_HOST}/${CI_PROJECT_PATH}.git"
- git fetch --all
- git rev-list --reverse origin/${CI_MERGE_REQUEST_TARGET_BRANCH_NAME}..

请问有没有办法让GitLab CI直接完整克隆仓库（包含标签和所有远程refs，和本地克隆效果一致），同时不给CI赋予推送权限？

解决方案 #

方案1：修改CI克隆策略实现完整克隆 #

GitLab CI默认采用浅克隆（shallow clone），仅拉取最近的提交记录，不会同步全量refs。你可以通过在.gitlab-ci.yml中配置全局变量，强制Runner执行完整克隆：

variables:
  GIT_STRATEGY: clone
  GIT_SHALLOW_CLONE: "false"

• GIT_STRATEGY: clone：每次CI运行时执行完整克隆，而非增量拉取
• GIT_SHALLOW_CLONE: "false"：禁用浅克隆，拉取仓库全部历史记录和远程refs

该方案无需额外配置token，GitLab CI默认的gitlab-ci-token仅拥有只读权限，不会赋予推送权限，完全满足需求。

方案2：按需拉取目标分支refs（更高效） #

如果完整克隆耗时较长，也可以仅拉取合并请求目标分支的完整历史，避免全量克隆的资源消耗：

- git fetch origin ${CI_MERGE_REQUEST_TARGET_BRANCH_NAME}:refs/remotes/origin/${CI_MERGE_REQUEST_TARGET_BRANCH_NAME}
- git rev-list --reverse origin/${CI_MERGE_REQUEST_TARGET_BRANCH_NAME}..

这个方法不需要修改全局克隆策略，仅针对性拉取所需的分支refs，既解决了refs缺失问题，又能节省CI运行时间和资源，同样无需额外token，无推送权限风险。

内容的提问来源于stack exchange，提问作者fbence