GitLab中‘允许通过CI_JOB_TOKEN访问此项目’在私有仓库间是否生效？

核心问题定位 #

你在配置CI_JOB_TOKEN共享时搞反了方向——权限共享的发起方应该是子模块仓库，而非主仓库。主仓库生成的CI_JOB_TOKEN需要子模块仓库主动允许其访问，所以你之前在主仓库里添加子模块仓库作为目标的操作完全错误，这才导致了权限报错。

分步解决方案 #

1. 正确配置子模块仓库的CI_JOB_TOKEN访问权限 #

• 打开每个子模块仓库的 Settings > CI/CD > Token Access 页面
• 在「Allow CI job tokens from the following projects to access this project」区域，点击「Add project」
• 搜索并选择你的主仓库，完成添加后保存配置
• 所有需要拉取的子模块仓库都要重复这一步操作

2. 修改子模块的Git URL以适配CI_JOB_TOKEN #

默认的子模块URL可能是SSH或无凭据的HTTPS，需要改成带CI_JOB_TOKEN的格式：

# 在CI脚本中临时修改子模块URL
git config submodule.你的子模块路径.url https://gitlab-ci-token:${CI_JOB_TOKEN}@你的GitLab域名/子模块项目路径.git

也可以直接修改主仓库的.gitmodules文件，把URL改成上述格式（CI运行时会自动替换${CI_JOB_TOKEN}变量）。

3. 规范CI中的子模块拉取命令 #

在CI任务里，确保用以下命令初始化拉取子模块：

git submodule sync
git submodule update --init --recursive

4. 兜底权限检查 #

如果还是报错，检查子模块仓库的成员列表：
找到主仓库对应的CI服务账号（格式通常是project_<项目ID>_bot），在子模块仓库的 Settings > Members 中添加这个账号，权限设为Reporter即可满足私有仓库拉取需求。

内容的提问来源于stack exchange，提问作者rbaleksandar