能否仅通过OAuth2.0 Token触发GitLab CI/CD流水线？

核心需求 #

我希望仅使用有效的GitLab OAuth2令牌触发流水线，预期的API请求如下：

curl --request POST "https://gitlab.example.com/api/v4/projects/1/pipeline?access_token=OAUTH-TOKEN"

OAuth2令牌验证情况 #

我们已经成功生成GitLab OAuth2令牌，并通过令牌信息端点完成了有效性验证。根据GitLab官方文档，OAuth令牌可用于与GitLab的交互操作。

GitLab官方OAuth2认证支持 #

OAuth 2.0令牌：您可通过在access_token参数或Authorization请求头中传入OAuth 2.0令牌，实现API认证。

OAuth 2.0令牌用于参数的示例：

curl "https://gitlab.example.com/api/v4/projects?access_token=OAUTH-TOKEN"

OAuth 2.0令牌用于请求头的示例：

curl --header "Authorization: Bearer OAUTH-TOKEN" "https://gitlab.example.com/api/v4/projects"

OAuth 2.0身份提供商API允许第三方服务通过OAuth 2.0协议代表用户访问GitLab资源。如需配置GitLab，请参阅《将GitLab配置为OAuth 2.0认证身份提供商》。此功能基于doorkeeper Ruby gem实现。

当前流水线触发实现方式 #

目前我的第三方应用只能通过以下方式触发流水线：

curl --request POST \
  --header "PRIVATE-TOKEN: $YOUR_PRIVATE_TOKEN" \
  --header "Authorization: Bearer $YOUR_OAUTH_BEARER_TOKEN" \
  --url "https://gitlab.example.com/api/v4/projects/$PROJECT_ID/trigger/pipeline" \
  --form "token=$TRIGGER_TOKEN"

具体步骤：

• 预生成具备API访问权限的组令牌
• 在该组令牌所属组的项目中预生成触发令牌
• 携带组令牌、触发令牌和OAuth2.0令牌发送API请求，即可成功触发流水线

当前方案的问题与局限 #

当前方案存在以下问题与局限

• 应用中需要存储组令牌，增加了密钥泄露的安全风险
• 依赖预先生成的静态令牌，无法实现动态生成、按需使用的模式
• 触发的流水线归属为项目中生成触发令牌的用户，无法匹配实际操作的身份主体

内容的提问来源于stack exchange，提问作者Davek804