Fastlane Match结合Gitlab Secure Files在CI/CD中无法使用不同私有令牌问题

核心原因 #

GitLab CI会自动注入CI_JOB_TOKEN环境变量，Fastlane Match在检测到该变量与你设置的PRIVATE_TOKEN同时存在时，会优先使用CI_JOB_TOKEN。但这个令牌仅能访问当前项目（Project Repo），无权访问存储证书的Cert Repo的Secure Files，因此触发401错误。

可行解决方案 #

方案1：临时移除CI_JOB_TOKEN环境变量

在执行match命令前，先清除CI自动注入的CI_JOB_TOKEN，让Match强制使用你提供的Cert Repo访问令牌：

# GitLab CI job脚本中
unset CI_JOB_TOKEN
bundle exec fastlane match [类型] --readonly

方案2：直接在Match配置中指定令牌参数

绕过环境变量的优先级判断，直接在Matchfile或Fastlane Lane中明确传入Cert Repo的访问令牌：

• 修改Matchfile：

  gitlab_project("PATH_TO_CERT_REPO_HERE")
  storage_mode("gitlab_secure_files")
  # 新增：直接指定令牌，建议用独立命名的环境变量避免冲突
  gitlab_token(ENV["CERT_REPO_PRIVATE_TOKEN"])
  # 其他原有配置...
  app_identifier(["APP_IDENTIFIER_HERE"])
  username("APPLE_ACCOUNT_USERNAME_HERE")
  keychain_password("KEYCHAIN_PW_HERE")
  team_id("TEAM_ID_HERE")
  

• 或在Lane中传参：

  lane :fetch_certs do
    match(
      type: "development",
      readonly: true,
      gitlab_token: ENV["CERT_REPO_PRIVATE_TOKEN"]
    )
  end
  

  注意：将原来的PRIVATE_TOKEN重命名为CERT_REPO_PRIVATE_TOKEN，并在Project Repo的CI/CD变量中配置该变量（设置为掩码类型保护敏感信息）。

方案3：配置跨项目CI_JOB_TOKEN访问权限（无需长期令牌）

如果不想使用个人访问令牌，可以通过GitLab的项目权限配置，让Project Repo的CI_JOB_TOKEN有权访问Cert Repo：

1. 进入Cert Repo的设置 → CI/CD → 令牌权限
2. 开启「允许来自其他项目的CI作业访问此项目」
3. 确保GitLab版本在13.7及以上（支持跨项目JOB_TOKEN访问）
4. 执行match命令时无需额外处理令牌，Match会自动使用CI_JOB_TOKEN访问Cert Repo

验证与注意事项 #

• 确认Cert Repo的访问令牌拥有足够权限：只读模式需要read_secure_files权限，上传模式需要write_secure_files权限
• 在CI job中可临时打印环境变量（避免泄露敏感值），确认指定的令牌变量已正确加载
• 若使用方案2，确保CERT_REPO_PRIVATE_TOKEN已在Project Repo的CI/CD变量中正确配置，且变量类型为「掩码」

内容的提问来源于stack exchange，提问作者aaronfg