如何通过GitLab CI向自托管GitLab受保护分支推送标签？

首先看你脚本里的核心错误：你在git push命令里同时尝试推送标签和HEAD:$DEV_BRANCH_NAME——但development是受保护分支，不允许直接推送，这直接触发了403，这是首要问题。另外，默认的CI_JOB_TOKEN对受保护标签的推送权限有限，也是报错的原因之一。

下面是保留分支保护规则的前提下，实现自动打标签推送的可行方案：

一、修正脚本核心错误 #

先去掉推送分支的部分，只推送标签即可（MR合并后dev分支已经是最新状态，不需要再推送分支）。修正后的基础脚本：

tagging:
  stage: deploy
  rules:
    - if: $CI_COMMIT_BRANCH == $DEV_BRANCH_NAME
  script:
    - git config --local user.name "${GITLAB_USER_NAME}"
    - git config --local user.email "${GITLAB_USER_EMAIL}"
    - tag="dev-$CI_COMMIT_SHA"
    - git tag "$tag"
    # 仅推送目标标签，移除推分支的违规操作
    - git push origin "$tag"

二、解决权限问题（二选一） #

方案1：调整CI_JOB_TOKEN权限（推荐，无需额外令牌） #

自托管GitLab中，默认CI_JOB_TOKEN没有推送受保护标签的权限，需完成两步配置：

1. 允许CI操作受保护资源：
   进入项目设置 → CI/CD → 流水线权限，勾选「允许流水线推送至受保护分支和标签」
2. 配置受保护标签规则：
   进入项目设置 → 仓库 → 受保护标签，点击「添加受保护标签」：
   • 标签名称匹配：输入dev-*（匹配你要创建的标签格式）
   • 允许推送：选择「维护者」（CI_JOB_TOKEN对应的身份属于项目维护者级别）
   • 点击保存

方案2：使用项目访问令牌（当方案1无法生效时） #

如果调整CI_JOB_TOKEN权限受限于系统配置，可创建项目访问令牌替代：

1. 创建项目访问令牌：
   进入项目设置 → 访问令牌 → 添加令牌：
   • 令牌名称：例如ci-tagging-token
   • 过期时间：按需设置
   • 权限：勾选write_repository
   • 点击创建后复制生成的令牌
2. 添加CI变量：
   进入项目设置 → CI/CD → 变量，添加变量PROJECT_ACCESS_TOKEN，值为刚才复制的令牌，勾选「保护变量」和「掩码变量」
3. 修改脚本推送命令：
   将push命令替换为：

   - git push https://gitlab-ci-token:$PROJECT_ACCESS_TOKEN@$CI_SERVER_HOST/$CI_PROJECT_PATH.git "$tag"
   

三、额外注意事项 #

• 之前出现的「HTTP Basic: Access denied」错误，大概率是CI_JOB_TOKEN权限不足或URL格式问题，按上述方案调整后即可解决
• 确保CI/CD变量中$DEV_BRANCH_NAME已正确设置为development，否则流水线触发条件会失效
• 脚本中用git config --local比--global更安全，避免影响全局配置

内容的提问来源于stack exchange，提问作者Tim