如何在GitLab中存储仅本人可见的敏感变量（如数据库连接串）？

核心配置步骤 #

• 创建专属私有变量

  1. 进入项目的「Settings」>「CI/CD」>「Variables」页面
  2. 点击「Add variable」，输入变量名（例如DB_CONNECTION_STRING）和对应的连接字符串值
  3. 勾选Mask variable：流水线日志中该变量值会被自动替换为********，彻底避免日志泄露
  4. 勾选Protect variable（可选）：限制变量仅在受保护分支/标签的流水线中生效，进一步缩小使用范围
  5. 关键设置：将Variable visibility选择为「Only me」（GitLab 15.4及以上版本支持），这会让该变量仅对你可见，其他团队成员（包括项目管理员）都无法查看或修改其值

• 杜绝流水线中的意外泄露

  • 绝对禁止在CI脚本中直接打印变量，比如echo $DB_CONNECTION_STRING这类命令
  • 如需调试，使用GitLab的CI/CD debug mode，但注意只有你能看到该调试会话的日志（因变量是个人可见），调试完成后立即关闭
  • 确认流水线日志权限：普通成员即使能查看日志，也只会看到掩码后的星号，无法获取真实值

版本兼容与额外提示 #

• 若你的GitLab版本低于15.4，没有「Only me」选项，需将项目设为私有并严格管控成员权限，同时结合掩码和保护变量，但这种方式无法完全阻止项目管理员查看变量，建议优先升级版本
• 定期检查变量的权限设置，确保没有被意外修改

内容的提问来源于stack exchange，提问作者AxD