GitLab CI：失败时将制品传递至手动作业的问题

问题分析 #

你的配置存在三个核心问题：

• needs中指定的作业名称master plan与实际作业名称plan不匹配，导致依赖关系失效；
• optional: true会让非main分支下（plan作业未运行）的手动作业被直接跳过，而移除该参数后，非main分支因plan作业不存在会直接中断流水线；
• 未对plan和手动作业添加分支限制，导致非main分支的流水线被不必要的作业干扰。

可行配置方案 #

以下配置实现了：仅在main分支运行plan作业，失败时保留输出artifacts；手动解锁作业仅在main分支可见，且能可靠获取plan的输出，同时不影响非main分支的流水线：

plan:
  stage: plan
  script:
    # 失败时将输出存入文件，用于后续手动清理
    - set -o pipefail; terraform plan -out=$PLAN 2>&1 | tee error.out
  artifacts:
    name: plan
    paths:
      - error.out
    when: always
  rules:
    - if: $CI_COMMIT_BRANCH == 'main'  # 仅在main分支执行该作业

manual force unlock:
  stage: unlock
  script:
    # 注意：busybox的grep功能有限
    - terraform force-unlock -force $(grep -e 'ID:.*' error.out | grep -o "[^ ]*$")
  needs:
    - job: plan
      artifacts: true
  when: manual
  rules:
    - if: $CI_COMMIT_BRANCH == 'main'
      allow_failure: true  # 允许手动作业失败，不影响整体流水线状态

配置说明 #

1. 分支限制：通过rules让两个作业仅在main分支运行，非main分支不会触发这些作业，避免破坏流水线；
2. 依赖修正：needs中指定正确的作业名称plan，且移除optional: true——因为main分支下plan作业必然已执行，无需标记为可选；
3. Artifacts保留：plan作业的when: always确保无论成功或失败，都会保留error.out文件，供手动作业使用；
4. 可选优化：如果希望手动作业仅在plan失败时才显示，可以给手动作业的rules添加条件：

   rules:
     - if: $CI_COMMIT_BRANCH == 'main' && $CI_JOB_STATUS == 'failed'
       allow_failure: true
   

   （注：部分CI系统可能需要调整变量名称，可通过关联作业状态或检查error.out内容来精准控制）

内容的提问来源于stack exchange，提问作者David Gallay