GitLab创建CodeCommit镜像仓库报错exit status 128(403)排查

根因确认 #

问题核心是URL特殊字符解析异常：AWS CodeCommit生成的HTTPS凭据如果包含+、@、#、/、?这类URL保留字符，直接拼接到请求URL中时，会被curl和后续GitLab侧的Git客户端识别为URL结构的一部分，而非凭据内容，最终触发鉴权失败返回403。
GitLab Web UI配置镜像时后台会自动对凭据做转义处理，因此手动配置不会触发该问题，和IAM权限、GitLab令牌有效性无关。

推荐解决方案 #

方案1：单独编码凭据字段（最小改动兼容现有逻辑） #

不需要反复重建IAM用户，只需要在拼接URL前，对用户名、密码字段单独做URL百分号编码，即可自动处理所有特殊字符。
如果CI环境已预装jq，直接修改脚本如下：

# 仅对用户名、密码字段做URL编码，其余URL结构保持原样
encoded_codecommit_user=$(printf '%s' "${codecommit_username}" | jq -sRr @uri)
encoded_codecommit_pass=$(printf '%s' "${codecommit_password}" | jq -sRr @uri)

mirror_id=$(curl --request POST \
  --data "url=https://${encoded_codecommit_user}:${encoded_codecommit_pass}@${codecommit_repo}" \
  --header "PRIVATE-TOKEN:${CLIENT_GITLAB_PRIVATE_TOKEN}" \
  "https://gitlab.com/api/v4/projects/${project_id}/remote_mirrors" | jq '.id')

curl --request PUT \
  --data "enabled=true" \
  --data "only_protected_branches=true" \
  --header "PRIVATE-TOKEN:${CLIENT_GITLAB_PRIVATE_TOKEN}" \
  "https://gitlab.com/api/v4/projects/${project_id}/remote_mirrors/${mirror_id}" > /dev/null 2>&1

无jq的环境可以用Python3做编码，兼容性更强：

encoded_codecommit_user=$(python3 -c "import urllib.parse; print(urllib.parse.quote('${codecommit_username}', safe=''))")
encoded_codecommit_pass=$(python3 -c "import urllib.parse; print(urllib.parse.quote('${codecommit_password}', safe=''))")

注意：禁止对完整镜像URL做全量编码，否则会破坏https://、路径分隔符/等URL结构，导致API请求失败。密码末尾的=属于base64标准填充字符，编码逻辑会自动正常处理，无需额外跳过。

方案2：API分离传参（安全无编码成本，官方推荐） #

GitLab远程镜像API原生支持单独传递用户名、密码字段，不需要把凭据拼接到URL中，从根源上避免特殊字符解析问题，同时还能避免凭据泄露到日志、进程列表：

mirror_id=$(curl --request POST \
  --data "url=https://${codecommit_repo}" \
  --data "username=${codecommit_username}" \
  --data "password=${codecommit_password}" \
  --header "PRIVATE-TOKEN:${CLIENT_GITLAB_PRIVATE_TOKEN}" \
  "https://gitlab.com/api/v4/projects/${project_id}/remote_mirrors" | jq '.id')

curl --request PUT \
  --data "enabled=true" \
  --data "only_protected_branches=true" \
  --header "PRIVATE-TOKEN:${CLIENT_GITLAB_PRIVATE_TOKEN}" \
  "https://gitlab.com/api/v4/projects/${project_id}/remote_mirrors/${mirror_id}" > /dev/null 2>&1

该方式不需要做任何转义处理，GitLab后台会自动处理所有特殊字符，是长期稳定运行的最优方案。

现有临时方案的缺陷 #

当前通过循环重建IAM用户筛选无特殊字符密码的方式可临时生效，但存在明显问题：

• 效率极低，CodeCommit生成的密码含特殊字符概率较高，极端情况需要重建十次以上才能拿到符合要求的密码
• 后续密钥轮换时大概率复现问题，无法从根源解决
• 容易遗漏未覆盖的特殊字符，触发偶发故障
  建议尽快替换为上述正式方案。

内容的提问来源于stack exchange，提问作者Helaman Ficquet