GitLab CI作业无论谁触发都显示同一触发用户问题咨询

问题根因 #

你当前流水线推送标签采用固定全局Deploy Key对应的SSH私钥完成鉴权，GitLab判定推送操作的触发账号是SSH密钥绑定的所属用户；git config中配置的user.name/user.email仅作用于Git提交记录的作者字段，不会改变SSH推送对应的账号身份，因此所有推送操作都会显示为该Deploy Key关联的同一个用户，导致溯源失效。

解决方案 #

方案一：使用触发用户个人访问令牌（PAT）走HTTPS推送（推荐，易落地） #

该方案无需维护多组SSH密钥，配置成本更低，安全性可控：

• 要求所有项目成员在个人GitLab账号生成拥有write_repository权限的个人访问令牌，将自己的令牌配置为项目级自定义变量，变量名统一为{用户登录名}_PAT格式（如用户登录名为lisi，变量名即为LISI_PAT），变量需设置为掩码、隐藏状态。
• 替换原有.gitlab-ci.yml的before_script配置如下：

before_script:
  # 配置Git提交记录作者信息
  - git config --global user.email $GITLAB_USER_EMAIL
  - git config --global user.name $GITLAB_USER_NAME
  # 动态读取当前触发用户对应的PAT并拼接远程仓库地址
  - export PAT_VAR_NAME=$(echo "${GITLAB_USER_LOGIN}_PAT" | tr '[:lower:]' '[:upper:]')
  - git remote set-url origin "https://${GITLAB_USER_LOGIN}:${!PAT_VAR_NAME}@${GITLAB_URL#*://}/${CI_PROJECT_PATH}.git"

配置完成后推送操作会自动关联当前触发流水线的用户，溯源信息准确。

方案二：动态加载触发用户SSH私钥（适用于必须使用SSH协议推送的场景） #

• 所有项目成员生成个人SSH密钥对，公钥绑定到个人GitLab账号的SSH密钥列表，私钥配置为项目级自定义变量，变量名统一为{用户登录名}_SSH_PRIVATE_KEY格式，设置为掩码、隐藏状态。
• 替换原有.gitlab-ci.yml的before_script配置如下：

before_script:
  # 动态读取当前触发用户对应的SSH私钥
  - export SSH_KEY_VAR_NAME=$(echo "${GITLAB_USER_LOGIN}_SSH_PRIVATE_KEY" | tr '[:lower:]' '[:upper:]')
  - echo "${!SSH_KEY_VAR_NAME}" | tr -d '\r' | ssh-add - > /dev/null
  - mkdir -p ~/.ssh
  - chmod 700 ~/.ssh
  - ssh-keyscan $GITLAB_URL >> ~/.ssh/known_hosts
  - chmod 644 ~/.ssh/known_hosts
  # 配置Git提交记录作者信息
  - git config --global user.email $GITLAB_USER_EMAIL
  - git config --global user.name $GITLAB_USER_NAME

内容的提问来源于stack exchange，提问作者Alex K