如何安全地向GitLab下游流水线传递掩码CI/CD变量？

数据老陈

2026-7-2

安全向GitLab下游流水线传递掩码CI/CD变量的方案

你提到的两个方式确实都存在安全问题或限制：

用build.env的方式不安全，生成的环境变量文件会被打包进构件，且内容是明文，完全违背了掩码变量的安全设计初衷。
trigger:forward确实不支持传递掩码变量，这个配置只能传递非掩码的变量类型。

下面是几个更安全的可行方案：

1. 依赖组/项目级受保护变量的自动继承

把需要传递的掩码变量设置为受保护变量（同时保持掩码状态），如果上下游项目同属一个组，可以直接通过组变量继承的方式让下游项目拿到变量；如果是独立项目，就在下游项目配置同名的受保护掩码变量，让下游流水线自动加载。这种方式不需要手动传递变量，GitLab会全程保证变量不被明文暴露，是最省心的安全方案。

注意：触发下游流水线的用户需要具备访问这些受保护变量的权限，否则无法正常加载。

2. 通过GitLab API配合`CI_JOB_TOKEN`安全传递

上游流水线可以用GitLab API触发下游流水线，借助CI_JOB_TOKEN做身份验证，在API请求里传递掩码变量。但要确保：下游项目中预先定义好同名的掩码+受保护变量，这样传递的变量会被GitLab自动按安全规则处理，不会在日志或构件中泄露。

示例命令：

curl --request POST \
  --header "PRIVATE-TOKEN: $CI_JOB_TOKEN" \
  --header "Content-Type: application/json" \
  --data '{
    "ref": "main",
    "variables": [
      {
        "key": "SECRET_VAR",
        "value": "$SECRET_VAR",
        "masked": true,
        "protected": true
      }
    ]
  }' \
  "$CI_API_V4_URL/projects/<下游项目ID>/trigger/pipeline"

这里上游的SECRET_VAR本身要是掩码变量，GitLab会自动处理，不会在日志里明文显示内容。