如何通过API获取GitLab组Runner注册令牌？

首先明确：GitLab确实没有提供直接获取现有组注册令牌的API，但可以通过以下几种方式避免硬编码导致的脚本失效问题：

1. 用组访问令牌动态生成Runner专属注册令牌 #

你可以创建一个带api权限的组访问令牌，然后通过API生成一个仅用于当前Runner注册的专属令牌——这个令牌不依赖于组的默认注册令牌，即使默认令牌被重置，专属令牌依然有效（除非手动撤销）。

示例脚本片段：

# 配置你的GitLab实例信息
GITLAB_URL="https://你的GitLab地址"
GROUP_ID="你的组ID"
# 提前创建好的组访问令牌（需具备maintainer权限+api范围）
GROUP_ACCESS_TOKEN="你的组访问令牌"

# 调用API生成Runner注册令牌
RUNNER_TOKEN=$(curl -s -X POST \
  -H "PRIVATE-TOKEN: ${GROUP_ACCESS_TOKEN}" \
  "${GITLAB_URL}/api/v4/groups/${GROUP_ID}/runners/token" | jq -r '.token')

# 导出令牌并执行注册脚本
export GITLAB_RUNNER_TOKEN="${RUNNER_TOKEN}"
sudo -E sh .local_runner.sh

2. 让脚本接受命令行参数传递令牌 #

直接把令牌作为参数传给脚本，彻底避免硬编码：
先修改.local_runner.sh开头的逻辑：

if [ -z "$1" ]; then
  echo "请传入GitLab Runner注册令牌作为参数"
  exit 1
fi
export GITLAB_RUNNER_TOKEN="$1"

# 下面是原有的Runner注册逻辑

调用时直接传令牌：

sudo -E sh .local_runner.sh "最新的注册令牌"

3. 用安全存储工具管理令牌 #

把令牌存在Vault、GitLab密钥管理或者本地安全存储中，脚本运行时动态读取：
比如用Vault的示例：

# 从Vault读取令牌
GITLAB_RUNNER_TOKEN=$(vault kv get -field=token secret/gitlab/group-runner-token)
export GITLAB_RUNNER_TOKEN
sudo -E sh .local_runner.sh

这种方式既不会把令牌写在脚本里，也能随时更新存储里的令牌而不改动脚本。

额外提醒 #

• 组访问令牌权限很高，一定要妥善保管，别泄露
• 通过API生成的专属令牌，可以在GitLab组的Runner设置页面手动撤销
• 如果用命令行传令牌，建议用read -s读取（避免令牌出现在命令历史）：

read -s -p "请输入GitLab Runner注册令牌: " RUNNER_TOKEN
echo
sudo -E sh .local_runner.sh "${RUNNER_TOKEN}"

内容的提问来源于stack exchange，提问作者Yosi Linchevsky