GitLab多项目流水线如何白名单传递指定部分继承变量

配置误区说明 #

测试中两种配置都不符合预期的核心原因是对inherit关键字的作用场景理解偏差：

• inherit: variables 配置仅控制当前运行的job自身是否继承流水线全局/项目预定义的变量，不直接控制下游触发的变量规则，但下游触发时默认只会传递当前trigger job上下文里存在的变量，利用这个特性就可以原生实现白名单传递，不需要全量传参后在下游做黑名单排除。
• 当配置inherit: variables: false时，trigger job自身无法读取全局定义的SHARED_ARGUMENT，此时在job内写SHARED_ARGUMENT: $SHARED_ARGUMENT会被识别为字面量字符串，无法拿到实际值传递给下游。
• 当配置inherit: variables: true时，trigger job会加载所有全局变量（包括THIS_PROJECT_NAME这类不需要传递的变量），触发下游时会全量透传所有上下文变量，才会出现下游拿到上游项目名的问题。

正确白名单配置方式 #

inherit.variables 原生支持数组格式的白名单配置，只需要在trigger job里明确列出需要透传给下游的变量即可，其余变量不会加载到当前job上下文，自然不会被传递到下游。
主项目触发job的最简正确配置示例：

run-trigger-job:
  stage: downstream
  inherit:
    # 数组格式即白名单模式：当前job仅继承列出的变量，其余全局变量全部不加载
    variables:
      - SHARED_ARGUMENT
  trigger: my-org/triggers_dest

如果需要避免CI内置的系统变量（比如CI_JOB_TOKEN、CI_PIPELINE_ID这类自动注入的变量）被透传到下游，可以补充forward配置做更精准的控制：

run-trigger-job:
  stage: downstream
  inherit:
    variables:
      - SHARED_ARGUMENT
  trigger:
    project: my-org/triggers_dest
    forward:
      # 仅传递显式定义的流水线变量，不传递job自动生成的系统变量
      pipeline_variables: true
      job_variables: false

如果需要在透传前修改变量值、或者新增自定义传递变量，可以直接在当前job的variables块里定义，此时白名单内继承的变量可以被正常引用，不会出现字面量问题：

run-trigger-job:
  stage: downstream
  inherit:
    variables:
      - SHARED_ARGUMENT
  variables:
    # 基于白名单变量拼接新的透传值
    CUSTOM_ARG: "trigger-from-main-${SHARED_ARGUMENT}"
  trigger: my-org/triggers_dest

预期执行结果 #

使用上述配置后，下游项目不需要做任何变量过滤配置，执行输出符合预期：

$ echo "${THIS_PROJECT_NAME}"
trigger-dest
$ echo "${SHARED_ARGUMENT}"
hello world!

如果需要透传多个变量，直接在inherit.variables的数组里追加对应变量名即可。

内容的提问来源于stack exchange，提问作者Michael Delgado