如何在git_repository函数中读取环境变量？

内置的git_repository规则无法直接在参数中引用环境变量，因为它的配置是在Bazel的加载阶段静态解析的，而ctx.os.environ这类API仅能在执行阶段的规则中使用。要实现通过环境变量传递私有仓库密码的需求，有两种可行方案：

方案一：自定义仓库规则读取环境变量 #

自己实现一个简单的仓库规则，在规则逻辑中读取环境变量并构造Git远程地址：

• 创建自定义规则文件（比如//:repo_rules.bzl）：

  def _private_git_repo_impl(ctx):
      # 从环境变量读取密码
      password = ctx.os.environ.get("PASSWORD")
      if not password:
          fail("必须通过--repo_env=PASSWORD=<你的令牌>传入密码")
      
      # 构造带认证的Git远程地址
      remote_url = f"https://user:{password}@git-server.com/my-repo.git"
      
      # 克隆仓库到当前仓库目录
      result = ctx.execute([
          "git", "clone", "--depth=1", remote_url, ctx.path(".")
      ])
      if result.return_code != 0:
          fail(f"克隆仓库失败：{result.stderr}")
      
      # 如果仓库本身没有BUILD文件，生成一个默认的导出所有文件的BUILD
      if not ctx.path("BUILD.bazel").exists and not ctx.path("BUILD").exists:
          ctx.file("BUILD.bazel", content='exports_files(["**"])')
  
  # 定义仓库规则，声明需要访问PASSWORD环境变量
  private_git_repo = repository_rule(
      implementation = _private_git_repo_impl,
      environ = ["PASSWORD"],
  )
  

• 在WORKSPACE中加载并调用该规则：

  load("//:repo_rules.bzl", "private_git_repo")
  
  private_git_repo(name = "my-repo")
  

• 运行Bazel时通过--repo_env传递密码：

  bazel build //... --repo_env=PASSWORD=${TOKEN}
  

方案二：使用Git凭据助手（推荐） #

避免在构建配置中暴露密码，直接用Git的凭据管理功能自动处理认证：

• 配置Git凭据助手（以存储凭据为例，也可以用cache等其他助手）：

  git config --global credential.helper store
  

• 手动克隆一次目标仓库，输入用户名和密码，Git会自动存储凭据：

  git clone https://git-server.com/my-repo.git
  

• 直接使用内置的git_repository规则，无需在URL中添加认证信息：

  git_repository(
      name = "my-repo",
      remote = "https://git-server.com/my-repo.git",
  )
  

这样Bazel拉取仓库时会自动调用Git的凭据助手，无需手动传递环境变量，安全性更高。

内容的提问来源于stack exchange，提问作者80sax