GitLab CI跨仓库获取文件作为参数传入Python脚本的方法

核心逻辑是利用GitLab CI自动注入的内置鉴权令牌单文件拉取目标资源，无需全量克隆仓库、无需额外配置永久访问凭证，配置完成即可直接使用。

前置配置 #

• 打开ProjA项目的设置页面，进入「CI/CD > 令牌访问」配置项，将ProjB添加到CI_JOB_TOKEN允许访问的项目列表，授予只读权限即可，不需要开更高权限。

CI配置修改 #

直接修改ProjB的.gitlab-ci.yml中对应任务，在执行Python脚本前加一行拉取文件的命令，拉取完成后直接传本地文件路径给脚本即可，示例配置如下：

parse-test:
  # 替换成你流水线实际对应的stage，没有的话自行在stages段补充test阶段
  stage: test
  script:
    # 拉取ProjA中的目标yaml文件，保存到当前任务工作目录
    - >
      curl --fail --header "JOB-TOKEN: $CI_JOB_TOKEN"
      "${CI_SERVER_URL}/api/v4/projects/<替换为ProjA的URL编码路径/数字ID>/repository/files/common%2Ftest.yaml/raw?ref=main"
      -o test.yaml
    # 把本地拉取到的文件作为参数传入Python脚本
    - python parse_project.py ./test.yaml

参数说明 #

• ProjA的项目标识：如果ProjA的仓库路径是my-group/proj-a，直接用URL编码后的路径my-group%2Fproj-a替换占位符即可，不需要特意查询数字形式的项目ID。
• ref参数：对应ProjA中存储test.yaml的分支、标签或者提交哈希，比如文件存放在dev分支就把ref=main改成ref=dev。
• 拉取到的test.yaml会直接存放在CI任务的默认工作目录下，和ProjB仓库拉取下来的parse_project.py处于同级路径，Python脚本按普通本地文件读取即可，没有路径兼容问题。

方案优势 #

• 零额外凭证维护：不需要创建个人访问令牌、不需要在CI变量里存密钥，用GitLab CI每次任务自动生成的临时CI_JOB_TOKEN鉴权，任务结束令牌自动失效，没有泄露风险
• 执行效率高：不需要全量克隆ProjA的整个仓库，仅拉取单个目标文件，大仓库场景下速度提升明显
• 依赖要求低：仅需要curl命令，绝大多数CI runner的默认镜像都自带该工具，不需要额外安装依赖。如果是极简镜像确实没有curl，Debian/Ubuntu系镜像加一行apt update && apt install -y curl、Alpine系镜像加一行apk add --no-cache curl即可。

内容的提问来源于stack exchange，提问作者Marcelo BD