GitLab Pipeline(Shell模式)如何传递本地/保密文件至测试任务？

为啥会出现这个问题？因为Shell模式下GitLab Runner默认以gitlab-runner系统用户身份执行任务，如果你把保密文件存在VM的个人用户目录下，或者文件权限设成仅自己可读，gitlab-runner用户就没法访问，导致程序报错找不到文件。

一、快速解决：调整文件权限或路径 #

• 把保密文件移到gitlab-runner能访问的目录，比如专门建个共享目录：
  1. 建目录：sudo mkdir /opt/gitlab-runner-secrets
  2. 改权限，让gitlab-runner能读写：sudo chown gitlab-runner:gitlab-runner /opt/gitlab-runner-secrets
  3. 复制文件过去：sudo cp /path/to/file.txt /opt/gitlab-runner-secrets/
  4. 更新Pipeline里的路径变量：

     variables:
       FILE: "/opt/gitlab-runner-secrets/file.txt"
     

• 嫌麻烦的话，也可以直接改原文件权限，让其他用户可读：sudo chmod o+r /path/to/file.txt（注意：如果文件在敏感目录，这么做有安全风险，谨慎使用）

二、更安全的方案：用GitLab保密变量存内容 #

如果文件不大，直接把内容转成Base64编码存在GitLab的保密变量里，不用在VM本地存文件：

1. 在VM上给文件做Base64编码：base64 /path/to/file.txt > file.txt.b64
2. 打开GitLab项目的设置 > CI/CD > 变量，新增一个保密变量（比如叫SECRET_FILE_CONTENT），把编码后的内容粘进去，记得勾选「保护变量」和「掩码变量」
3. 在Pipeline的测试任务里解码生成文件再用：

   test-job:
     stage: test
     script:
       - echo "$SECRET_FILE_CONTENT" | base64 -d > ./secret_input.txt
       - ./build/my_program ./secret_input.txt
   

三、适合大文件：用Runner本地缓存 #

如果保密文件体积大，Base64编码不方便，就用Runner的本地缓存功能：

1. 打开Runner的配置文件（默认是/etc/gitlab-runner/config.toml），给这个Runner加本地缓存配置：

   [[runners]]
     name = "你的Shell Runner名称"
     url = "你的GitLab实例地址"
     token = "你的Runner令牌"
     executor = "shell"
     [runners.cache]
       Type = "local"
       Path = "/opt/gitlab-runner-cache"
       Shared = false
   

2. 创建缓存目录并设权限：sudo mkdir -p /opt/gitlab-runner-cache && sudo chown gitlab-runner:gitlab-runner /opt/gitlab-runner-cache
3. 把保密文件放到缓存目录里，或者在Pipeline脚本里把文件从指定位置复制到工作目录（确保gitlab-runner有权限访问）

最佳实践总结 #

• 优先用GitLab保密变量：小体积保密内容首选，统一在GitLab管理，不用在VM本地维护文件，安全又省心
• 专用共享目录存大文件：必须存在VM本地的话，一定要建专门的目录，严格控制权限，只让gitlab-runner能访问，别给多余权限
• 别硬编码路径：Pipeline里别直接写死绝对路径，用GitLab变量或者Runner自定义变量管理，改起来方便
• 最小权限原则：gitlab-runner用户只给必要的文件访问权限，降低安全风险

内容的提问来源于stack exchange，提问作者Moritz