如何限制非保护分支触发CI，强制使用main分支的CI配置？

1. GitLab触发CI时使用哪个版本的.gitlab-ci.yml？ #

你的推测完全正确。GitLab触发CI流水线时，会使用触发该流水线的对应分支/提交里的.gitlab-ci.yml版本，而非main分支的配置文件。所以只要开发者在个人分支修改CI配置并推送，GitLab就会用这个分支的配置运行流水线，不受main分支配置的限制。

2. 如何限制仅使用main分支的CI配置触发CI？ #

以下几种方案可以实现你的需求：

• 指定固定CI配置文件来源
  在项目的「设置」→「CI/CD」→「通用流水线设置」中，找到「CI/CD配置文件」选项，设置为main:.gitlab-ci.yml（格式为分支名:文件名）。这样无论哪个分支触发流水线，GitLab都会拉取main分支下的.gitlab-ci.yml来执行，分支内的CI配置修改不会生效。

• 保护CI配置文件+权限管控
  将.gitlab-ci.yml设置为受保护文件，仅允许维护者、管理员这类高权限用户修改。同时严格控制分支合并流程，要求所有分支的合并请求必须经过审核才能合并到main，从根源上阻止未审批的CI配置修改。

• 添加流水线前置校验步骤
  在流水线开头增加一个校验步骤，对比当前分支的.gitlab-ci.yml与main分支的版本是否一致，不一致则终止流水线。示例脚本如下：

  git fetch origin main
  diff .gitlab-ci.yml origin/main:.gitlab-ci.yml
  if [ $? -ne 0 ]; then
    echo "CI配置与main分支不一致，终止流水线"
    exit 1
  fi
  

  注意这种方式只能在流水线触发后拦截，无法阻止触发行为，仅能提前终止不符合要求的流水线。

附当前示例CI配置 #

stages:
  - build
  - test

build-code-job:
  stage: build
  script:
    - echo "Hello."
#  only:
#    - main

test-code-job1:
  stage: test
  script:
    - echo "Test"
  only:
    - main

内容的提问来源于stack exchange，提问作者user971741