Pod中git clone无法使用Shell环境变量Token的问题排查

在部署K8s应用时，需要在Pod内执行git clone操作，但遇到错误：

URL using bad/illegal format or missing URL

测试用清单 #

Secret清单 #

apiVersion: v1
kind: Secret
metadata:
  name: secret-manager
  namespace: sec-manager
type: Opaque
data:
  gitlab-access-token: SOMETOKEN

Pod清单 #

apiVersion: v1
kind: Pod
metadata:
  name: "sec-manager"
  namespace: sec-manager
  labels:
    app: sec-manager
    use: passwordmanager
spec:
  containers:
  - name: disk-checker
    image: "alpine:latest"
    command: ["/bin/sh"]
    args:
      - "-c"
      - |
        apk add --no-cache git;
        git --version;
        cd /root;
        git clone https://gitlab-ci-token:$GITLABTOKEN@gitlab.com/ORG/infra/deploy/apps/sec-manager.git;
        sleep 9999;
    env:
      - name:  GITLABTOKEN
        valueFrom:
          secretKeyRef:
            name:  secret-manager
            key:  gitlab-access-token

错误日志 #

→ kubectl -n sec-manager logs sec-manager 
fetch https://dl-cdn.alpinelinux.org/alpine/v3.16/main/x86_64/APKINDEX.tar.gz
fetch https://dl-cdn.alpinelinux.org/alpine/v3.16/community/x86_64/APKINDEX.tar.gz
(1/7) Installing ca-certificates (20220614-r0)
(2/7) Installing brotli-libs (1.0.9-r6)
(3/7) Installing nghttp2-libs (1.47.0-r0)
(4/7) Installing libcurl (7.83.1-r4)
(5/7) Installing expat (2.5.0-r0)
(6/7) Installing pcre2 (10.40-r0)
(7/7) Installing git (2.36.3-r0)
Executing busybox-1.35.0-r17.trigger
Executing ca-certificates-20220614-r0.trigger
OK: 19 MiB in 21 packages
git version 2.36.3
Cloning into '@gitlab.com/ORG/infra/deploy/apps/sec-manager.git'...
fatal: unable to access 'https://gitlab-ci-token:glpat-252jb98b39/': URL using bad/illegal format or missing URL

但在Pod内手动执行相同的git clone命令却能成功。

原因分析 #

问题出在YAML多行命令的Shell解析逻辑：使用|定义多行命令时，Shell会将URL中的@符号误解析为参数分隔符，导致@后的域名部分被拆分出来，URL被截断后出现格式错误。手动执行时Shell上下文不同，不会触发该问题。

解决方法 #

将git clone的URL用双引号包裹，确保Shell将整个URL作为完整参数解析：

修改Pod的args部分：

args:
  - "-c"
  - |
    apk add --no-cache git;
    git --version;
    cd /root;
    git clone "https://gitlab-ci-token:$GITLABTOKEN@gitlab.com/ORG/infra/deploy/apps/sec-manager.git";
    sleep 9999;

另外需注意：Secret中的gitlab-access-token值必须是Base64编码后的字符串，否则环境变量会获取到未编码的原始值，可能导致后续认证失败。比如实际token为glpat-252jb98b39时，需执行echo -n "glpat-252jb98b39" | base64得到编码值后填入Secret。

内容的提问来源于stack exchange，提问作者vjwilson