如何创建配置GitLab CI令牌，解决标签推送403权限问题

首先得说透：你碰到的403错误，核心原因是GitLab默认的gitlab-ci-token只有仓库读取权限，根本没法完成推送标签这类写入操作。咱们得专门创建一个带仓库写入权限的令牌，再把它配置到CI流程里，一步步来：

一、创建具备仓库写入权限的项目访问令牌 #

1. 打开你的GitLab项目，左侧菜单栏点「设置」→「访问令牌」
2. 找到「项目访问令牌」区域，给令牌起个好记的名字（比如ci-tag-push-token），按需设置过期时间
3. 权限一定要勾选仓库写入（Repository write）——这是解决问题的核心权限，其他权限按需添加就行
4. 点击「创建项目访问令牌」，立刻复制生成的令牌值！这个值只会显示一次，千万别弄丢了

二、在CI/CD流程中配置令牌 #

第一步：把令牌存为CI/CD变量（安全优先） #

• 回到项目「设置」→「CI/CD」→「变量」
• 点「添加变量」，变量名设为CI_PUSH_TOKEN，值填刚才复制的令牌，记得勾选「保护变量」和「掩码变量」，防止令牌泄露到CI日志里

第二步：修改.gitlab-ci.yml脚本 #

把原来用默认令牌的推送命令，替换成咱们的自定义令牌。给你一个完整的示例：

stages:
  - tag_and_push

tag_release:
  stage: tag_and_push
  script:
    # 先配置git用户信息，否则可能无法提交标签
    - git config --global user.name "GitLab CI Bot"
    - git config --global user.email "ci-bot@your-domain.com"
    # 基于当前commit创建标签，版本号可以按需调整
    - git tag -a v${CI_PIPELINE_ID} -m "Auto-tagged release from pipeline ${CI_PIPELINE_ID}"
    # 替换仓库地址为带自定义令牌的版本
    - git remote set-url origin https://$CI_PUSH_TOKEN@$CI_SERVER_HOST/$CI_PROJECT_PATH.git
    # 推送标签
    - git push origin --tags

你也可以直接在push命令里指定令牌，效果是一样的：

- git push https://$CI_PUSH_TOKEN@$CI_SERVER_HOST/$CI_PROJECT_PATH.git --tags

三、额外注意事项 #

• 一定要确认令牌的「仓库写入」权限已经勾选，这是解决403的关键
• 如果你的项目设置了受保护标签规则，需要确保创建的标签符合规则，或者调整规则让CI可以推送
• 变量设置时的「掩码变量」一定要勾上，这样令牌在CI日志里会被自动隐藏，避免泄露

内容的提问来源于stack exchange，提问作者ir2pid