GitLab CI/CD中git clone变量含冒号的认证问题及替代方案咨询

一、解决变量拼接丢失Token的问题 #

你之前的单引号拼接写法在shell解析时会出问题：单引号包裹的内容不会展开变量，拆分拼接的方式还容易触发shell的分词逻辑，导致Token被省略。直接用双引号包裹整个URL就能同时解决GitLab把冒号当键值对分隔符、变量解析失效这两个问题：

script:
  - git clone "https://${GL_USER}:${GL_TOKEN}@gitlab.com/my-repo.git"

或者先把URL赋值给变量再使用，可读性更强：

script:
  - CLONE_URL="https://${GL_USER}:${GL_TOKEN}@gitlab.com/my-repo.git"
  - git clone $CLONE_URL

这里用${变量名}的写法是为了避免变量名和后续字符的解析歧义，确保变量被正确展开。另外记得把GL_TOKEN设置为掩码变量，防止它在流水线日志中泄露。

二、GitLab流水线中更优的Git认证方式 #

手动维护用户名和令牌变量不是最安全或最便捷的方式，推荐下面几种官方认可的方案：

1. 使用预定义的CI_JOB_TOKEN #

GitLab会为每个流水线自动生成临时的CI_JOB_TOKEN，权限仅限于当前项目，无需手动创建变量，安全又省心。用法如下：

script:
  - git clone "https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/my-repo.git"

这个令牌在流水线结束后自动失效，不会有长期泄露风险。

2. 使用SSH密钥认证 #

如果需要克隆多个仓库或者更灵活的权限控制，可以用SSH方式：

• 在项目设置的「部署密钥」中添加公钥，或者在CI/CD变量中存储私钥（命名为SSH_PRIVATE_KEY，设置为受保护+掩码）
• 在流水线脚本中配置SSH代理：

before_script:
  - eval $(ssh-agent -s)
  - echo "$SSH_PRIVATE_KEY" | tr -d '\r' | ssh-add -
  - mkdir -p ~/.ssh
  - chmod 700 ~/.ssh
  - echo "Host gitlab.com" >> ~/.ssh/config
  - echo "  StrictHostKeyChecking no" >> ~/.ssh/config
script:
  - git clone git@gitlab.com:my-repo.git

3. 使用项目访问令牌 #

如果需要长期的项目级权限，创建「项目访问令牌」（Project Access Token），权限可以精细控制（比如只读、读写），然后把令牌存为CI/CD变量，用法和你之前的方式类似，但令牌属于项目而非个人，人员变动后不会影响流水线运行。

内容的提问来源于stack exchange，提问作者user3372090