GitLab CI/CD流水线如何配置代码仓库凭证以解决401认证报错？

报错根因说明 #

两个报错存在直接关联：Could not resolve dependencies for project是表层现象，根本原因是GitLab CI流水线运行时没有合法凭据访问你的私有制品/代码仓库，触发了401 Unauthorized报错，导致依赖拉取失败。

认证凭据配置方案 #

1. 适配本次报错的GitLab CI流水线凭据配置（优先推荐） #

• 进入对应GitLab项目的设置→CI/CD→变量管理页
• 新增两个变量：制品仓库用户名REPO_USERNAME、密码/访问令牌REPO_PASSWORD，勾选保护变量和隐藏变量选项，避免凭据泄露
• 修改项目根目录下的.gitlab-ci.yml文件，在执行依赖拉取、Sonar扫描的步骤中，动态把凭据注入到对应包管理工具的配置文件：
  • 如果是Maven项目，提前在项目的settings.xml中留好占位符，执行以下命令替换：

    - sed -i "s/{REPO_USER_PLACEHOLDER}/$REPO_USERNAME/g" settings.xml
    - sed -i "s/{REPO_PWD_PLACEHOLDER}/$REPO_PASSWORD/g" settings.xml
    

  • 如果是NPM项目，直接执行以下命令配置凭据：

    - npm config set registry https://example.com:7790/develop/
    - npm config set //example.com:7790/develop/:_authToken "$REPO_PASSWORD"
    

2. SonarQube端凭据配置（若Sonar扫描本身需要拉取私有代码） #

• 进入SonarQube后台管理页，依次打开配置→通用设置→DevOps集成→GitLab
• 填写提前生成的GitLab个人访问令牌，令牌权限需要勾选read_repository，保存后Sonar拉取项目代码时会自动使用该凭据

3. 各类仓库凭据通用配置规则 #

• 私有代码仓库（GitLab/GitHub等）：CI流水线内拉取代码可直接使用GitLab内置的CI_JOB_TOKEN，无需额外配置；第三方工具（SonarQube/Jenkins等）拉取代码时，给对应工具配置具备代码读权限的个人访问令牌即可
• 私有制品仓库（Maven/NPM/PyPI等）：优先配置在GitLab项目/群组级别的CI/CD变量中，运行时动态注入配置，禁止把硬编码的凭据提交到代码仓库
• 多项目共用的凭据：可以配置在GitLab群组级别的CI/CD变量中，群组下所有项目可直接调用，无需重复配置

内容的提问来源于stack exchange，提问作者Vishal Gaikwad