如何在GitLab CI/CD中安全使用访问令牌克隆仓库？

以下是几种更安全的克隆方式，避免直接在URL中暴露令牌：

1. 使用GitLab CI内置的临时作业令牌（CI_JOB_TOKEN） #

GitLab会自动为每个流水线作业生成临时的CI_JOB_TOKEN，这个令牌仅拥有当前项目的克隆权限，且作业结束后立即失效，完全无需手动配置或存储长期令牌。

克隆命令示例：

git clone https://gitlab-ci-token:$CI_JOB_TOKEN@gitlab.com/your-group/your-project.git

优势：零额外配置、令牌临时且权限最小化，不会在Runner中留下持久化的敏感信息。

2. 采用SSH密钥认证 #

通过SSH密钥对替代令牌认证，步骤如下：

• 生成SSH密钥对（无需设置密码，避免CI中交互）：ssh-keygen -t ed25519 -C "ci-runner@your-group"
• 将公钥添加到GitLab组的SSH密钥设置中（确保密钥拥有组内项目的克隆权限）
• 将私钥作为保密变量（如SSH_PRIVATE_KEY）添加到项目/组的CI/CD变量中
• 在流水线作业中配置SSH环境：

# 启动SSH代理并加载私钥
eval $(ssh-agent -s)
echo "$SSH_PRIVATE_KEY" | tr -d '\r' | ssh-add -
# 配置GitLab主机信任
mkdir -p ~/.ssh
echo -e "Host gitlab.com\n  StrictHostKeyChecking no" >> ~/.ssh/config

• 随后使用SSH地址克隆：

git clone git@gitlab.com:your-group/your-project.git

优势：私钥作为保密变量存储，不会在克隆命令中暴露，且可通过密钥权限进一步限制访问范围。

3. 配置Runner的Git凭据助手（适合专用Runner） #

如果使用专属Runner，可通过Git凭据助手自动管理令牌，避免每次克隆手动传入：

• 在Runner的config.toml配置文件中添加环境变量，启用凭据存储：

[[runners]]
  # 其他配置...
  environment = ["GIT_CONFIG_KEY_0=credential.helper=store"]

• 首次手动在Runner上执行克隆（输入组访问令牌），Git会将凭据存储在本地安全位置（如~/.git-credentials）
• 后续流水线作业克隆时，Git会自动调用凭据助手获取令牌，无需在命令中传入
  注意：仅适合专用Runner，共享Runner因多项目共用，存在凭据泄露风险。

内容的提问来源于stack exchange，提问作者AJ_