Gitlab流水线中Go.mod拉取AWS CodeCommit私有仓库失败求助

数据老陈

2026-7-13

排查方向与解决提示

优先排查网络连通性
连接拒绝属于网络层面问题，先确认GitLab Runner所在环境能访问AWS CodeCommit的HTTPS端口（443）。在流水线的before_script里添加测试命令：
```
telnet git-codecommit.us-east-1.amazonaws.com 443
# 或者用curl测试
curl -v https://git-codecommit.us-east-1.amazonaws.com
```
如果测试失败，说明Runner的网络出站规则受限：
- 若Runner在私有VPC，需配置AWS CodeCommit的VPC端点，或在安全组/网络ACL中允许访问对应区域CodeCommit的IP段；
- 检查是否有代理、防火墙拦截了对CodeCommit域名的访问。
清理重复的Git凭证助手配置
你的配置中重复设置了credential.helper，后一条会覆盖前一条，可能导致逻辑冲突。保留一条正确的配置即可：
```
git config --global credential.helper '!aws codecommit --region us-east-1 credential-helper $@'
```
验证AWS环境变量的正确性
AWS CLI识别的标准环境变量是AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY，你当前设置的AWS_ACCESS_KEY和AWS_SECRET_KEY不符合规范，会导致凭证无法被正常读取。修改GitLab仓库的环境变量名称为标准值，同时在before_script中添加验证命令：
```
aws sts get-caller-identity
```
若命令返回IAM用户信息，说明凭证有效；若报错，检查IAM用户是否拥有codecommit:GitPull等必要权限。
确认GOPRIVATE与依赖路径匹配
确保go.mod中依赖的CodeCommit仓库路径是HTTPS格式（如git-codecommit.us-east-1.amazonaws.com/v1/repos/your-repo），且GOPRIVATE已正确包含git-codecommit.us-east-1.amazonaws.com域名，避免Go尝试通过公共代理拉取私有依赖。
检查Git与AWS CLI版本兼容性
旧版本的Git或AWS CLI可能存在凭证助手的兼容性问题。在流水线中添加版本检查：
```
git --version
aws --version
```
若版本过旧，尝试在before_script中升级到稳定版（比如Git 2.30+、AWS CLI v2）。