如何通过GitLab API审批合并请求？携带PRIVATE-TOKEN仍报401错误怎么解决？

1 校验PRIVATE-TOKEN有效性 #

• 确认token所属账号对目标项目有开发者（Developer）及以上权限，且在仓库审批人白名单内，不在白名单的账号即使权限等级足够也无法发起审批
• 确认token未过期、未被撤销：携带同一token调用GET /api/v4/user接口，能正常返回账号信息则token本身有效
• 确认token权限范围包含api，如果使用项目访问令牌，还需要确认令牌授予的项目权限不低于开发者等级

2 校验请求头格式正确性 #

• 确认请求头键名完全符合要求，GitLab对请求头大小写敏感，正确格式为PRIVATE-TOKEN: 你的令牌值，不要误写为private_token、Private-Token等其他格式
• 若请求经过反向代理，确认代理配置允许PRIVATE-TOKEN请求头透传，部分代理默认会过滤带下划线的自定义请求头
• 参考正确的curl请求示例验证：curl --request POST --header "PRIVATE-TOKEN: <你的令牌>" "https://你的GitLab域名/api/v4/projects/xx/merge_requests/xx/approve"

3 校验接口路径与业务配置 #

• 确认请求路径携带API版本号前缀/api/v4，缺少版本号会直接返回401或404错误
• 确认路径中的项目ID、合并请求ID正确：若使用项目路径别名（如group/project）需要做URL编码处理为group%2Fproject，不可直接使用未编码的路径
• 确认目标合并请求未被关闭、锁定，且满足审批前置条件（如流水线运行成功、无代码冲突），不满足前置条件的审批请求也会被拦截返回401

4 特殊场景排查 #

• 若账号开启了双因素认证（2FA），确认token是开启2FA之后生成的，开启2FA前生成的旧令牌会自动失效
• 确认请求IP在GitLab实例或令牌的IP访问白名单内，不在白名单的IP请求会直接返回401
• 短时间内大量请求会触发GitLab限流规则，部分限流场景也会返回401，等待1-2分钟重试即可

内容的提问来源于stack exchange，提问作者YuSheng