如何通过SSH密钥免明文Token从私有GitLab下载非仓库文件

GitLab 通用包注册表（Generic Package Registry）仅支持 HTTP/HTTPS 协议访问，未开放 SSH 协议的文件拉取入口。你尝试用scp走SSH路径拉取API路径下的文件自然会鉴权失败，该路径本身不属于SSH服务的可访问文件路径。

通用Shell脚本场景 #

• 将私有token存储在本地用户级配置文件中，设置仅当前用户可读权限，无需硬编码到脚本内：
  1. 在家目录创建.gitlab_private_token文件，写入内容：PRIVATE_TOKEN: 你的实际token值
  2. 执行chmod 600 ~/.gitlab_private_token，确保文件仅当前用户可读写
  3. 拉取文件的命令调整为：curl --header @~/.gitlab_private_token -O https://gitlab2server.com/api/v4/projects/53/packages/generic/paCKAGE/21.08.16/FILE.tar.xz
     该方式不会把明文token暴露在脚本、命令行历史中，权限可控。
• 若习惯使用wget，也可以采用相同思路，将鉴权头写入~/.wgetrc：
  写入内容：header = PRIVATE_TOKEN: 你的实际token值，同样执行chmod 600 ~/.wgetrc，之后直接执行wget 对应URL即可自动携带鉴权头完成请求。

Yocto Recipe专属适配方案 #

Yocto原生支持GitLab通用包的鉴权配置，无需将token硬编码到recipe文件内：

1. 在本地构建配置local.conf（仅本地生效，不要提交到公共代码仓库）中添加配置：

   SRC_URI_GITLAB2SERVER_TOKEN = "你的实际token值"
   

   如果是团队共享的构建环境，可以将该变量配置到节点的加密环境变量中，通过bitbake变量传递读取，完全避免明文出现在配置文件内。
2. 修改recipe中的SRC_URI配置，自动关联鉴权头：

   SRC_URI = "https://gitlab2server.com/api/v4/projects/53/packages/generic/paCKAGE/21.08.16/FILE.tar.xz;downloadfilename=FILE.tar.xz;header=PRIVATE_TOKEN:${SRC_URI_GITLAB2SERVER_TOKEN}"
   

   也可以全局配置该域名的鉴权规则，避免每个recipe重复配置：

   SRC_URI_FILTER:pn-<你的recipe名称> = "header=PRIVATE_TOKEN:${SRC_URI_GITLAB2SERVER_TOKEN}"
   

如果确实希望使用SSH密钥鉴权，不需要HTTP token，可以在GitLab服务器侧将通用包的存储目录配置为某个SSH用户的可读目录，给对应的SSH公钥开通该目录的读权限，之后即可通过scp拉取对应路径下的文件。该方案需要GitLab服务器的管理权限，改造成本较高，优先级低于上述HTTPS鉴权方案。

内容的提问来源于stack exchange，提问作者ZioByte