通过GitLab API向MergeRequest提交评论返回403 Forbidden错误求助

• URL特殊字符未编码：评论内容包含[、]、(、)等URL保留字符，直接拼接在查询参数中会触发GitLab服务端安全校验或前置WAF/CDN的恶意请求拦截，直接返回403。
• Curl请求格式不规范：示例curl命令中body查询参数缺少前置双引号，且将POST请求参数直接放在URL查询串的方式不符合规范，容易被服务端判定为异常请求拦截。
• 令牌权限不足：若PRIVATE-TOKEN仅配置了只读权限，也会触发403，可通过GUI正常提交评论的情况下该情况概率较低，可作为后续排查项。

方法1：通过POST请求体传参（推荐） #

不要将评论内容放在URL查询串中，改为通过--data参数放在请求体中传输，同时配置请求头声明内容类型，参考命令如下：

curl --request POST \
  --header "PRIVATE-TOKEN: xxx888" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data "body=[link](https://example.com)" \
  "https://gitlab.example.com/api/v4/projects/11/merge_requests/1/notes"

方法2：编码URL查询参数后请求 #

如果需要使用查询串传参，先对body参数的内容做URL编码，[link](https://example.com)编码后为%5Blink%5D%28https%3A%2F%2Fexample.com%29，参考命令如下：

curl --request POST --header "PRIVATE-TOKEN: xxx888" "https://gitlab.example.com/api/v4/projects/11/merge_requests/1/notes?body=%5Blink%5D%28https%3A%2F%2Fexample.com%29"

额外排查方案 #

若调整请求格式后仍返回403，可按以下顺序校验：

• 确认PRIVATE-TOKEN对目标项目有开发者及以上权限，且令牌已开启api权限范围
• 确认访问IP未被GitLab限流规则或前置WAF拦截
• 确认目标Merge Request未被锁定，允许新增评论

内容的提问来源于stack exchange，提问作者posone