GitLab CI（含Auto DevOps）中限制派生项目的阶段执行

我来帮你解决这个GitLab CI的配置问题，正好之前处理过类似的场景——要让主项目能跑全流程，派生项目只能执行build和test，绝对碰不到deploy阶段。

核心思路：用GitLab自带变量区分主/派生项目 #

GitLab CI有几个预定义变量可以帮我们精准判断当前运行的是主项目还是派生项目：

• CI_PROJECT_PATH：完整的项目路径（比如my-team/edu-erp），主项目的这个值是固定的，派生项目会是username/edu-erp这种格式
• 还可以用CI_PROJECT_NAMESPACE和CI_PROJECT_ROOT_NAMESPACE：主项目的这两个值是一样的，派生项目的话，前者是派生者的用户名/组，后者是原项目的根命名空间

我们就用这些变量来给各个阶段加权限控制。

修改后的完整配置 #

把你的.gitlab-ci.yml换成下面这个，记得把ORIGINAL_PROJECT_PATH改成你主项目的实际路径（比如your-org/edu-erp）：

variables:
  MAVEN_CLI_OPTS: "--batch-mode --errors --fail-at-end --show-version"
  MAVEN_OPTS: "-Djava.awt.headless=true -Dmaven.repo.local=./.m2/repository"
  # 替换成你的主项目完整路径
  ORIGINAL_PROJECT_PATH: "your-namespace/edu-erp"

cache:
  paths:
    - ./.m2/repository # 跨分支保留缓存
  key: "$CI_COMMIT_REF_NAME"

stages:
  - build
  - test
  - deploy

build:
  stage: build
  cache:
    key: edu-erp
    paths:
      - .m2/repository/
  script:
    - "mvn clean compile $MAVEN_CLI_OPTS"
  artifacts:
    paths:
      - target/
  # 对所有项目的所有分支、标签开放
  only:
    - branches
    - tags
  except: []

test:
  stage: test
  cache:
    key: edu-erp
  script:
    - "mvn test $MAVEN_CLI_OPTS"
  # 同样对所有项目开放
  only:
    - branches
    - tags
  except: []

deploy_review:
  stage: deploy
  script:
    - echo "deploy_review"
  # 仅主项目的非master分支可手动触发
  only:
    - branches@$ORIGINAL_PROJECT_PATH
  except:
    - master@$ORIGINAL_PROJECT_PATH
  when: manual

deploy_staging:
  stage: deploy
  script:
    - echo "deploy_staging"
  # 仅主项目的master分支自动执行
  only:
    - master@$ORIGINAL_PROJECT_PATH

deploy_prod:
  stage: deploy
  script:
    - echo "Deploy to prod"
  # 仅主项目的master分支可手动触发
  only:
    - master@$ORIGINAL_PROJECT_PATH
  when: manual

关键细节说明 #

1. build和test阶段：我加了only: [branches, tags]和except: []，这是为了确保没有隐性限制——不管是主项目还是派生项目，任何分支、标签都能跑这两个阶段，解决你说的派生项目master分支无法执行build的问题。
2. deploy阶段的权限锁：每个deploy任务都用@符号绑定了原项目路径（比如master@$ORIGINAL_PROJECT_PATH），意思是只有主项目的对应分支才能触发这个任务，派生项目的任何分支都看不到这些deploy任务。
3. 可选的灵活判断方式：如果你不想硬编码项目路径，也可以用命名空间变量来判断，把deploy任务的only改成这样：

   only:
     variables:
       - $CI_PROJECT_NAMESPACE == $CI_PROJECT_ROOT_NAMESPACE
   

   这个逻辑是：只有当项目的命名空间和根命名空间一致时（也就是主项目），才允许执行deploy。

内容的提问来源于stack exchange，提问作者Aldrine Einsteen