如何在GitLab CI中安全获取git push权限，规避令牌共用安全风险

原有将个人访问令牌（PAT）存储在项目级CI变量的方案，存在所有项目维护者均可读取变量值的安全风险，以下为经过验证的可行替代方案：

方案1：用户级CI变量存储个人PAT（完全满足每人使用自有凭证的需求） #

该方案下所有成员仅能访问自己存储的PAT，不会出现跨用户凭证泄露问题，操作步骤如下：

• 所有团队成员各自进入GitLab个人账号设置页面，找到「CI/CD」-「变量」设置项
• 新增名为PERSONAL_ACCESS_TOKEN的变量，值为自己生成的、拥有目标仓库写入权限的PAT，务必勾选「保密」选项，避免变量值在CI日志中打印
• 删除项目级CI变量中共享的PERSONAL_ACCESS_TOKEN变量，避免项目级变量优先级覆盖用户级变量
• 原有git远程地址配置命令无需修改，不同用户触发的CI任务会自动加载当前触发用户个人设置下的同名变量，不会读取到其他用户的凭证信息

方案2：开启CI_JOB_TOKEN写入权限（无额外凭证管理成本的最优安全方案） #

GitLab 14.1及以上版本支持给CI_JOB_TOKEN开放仓库写入权限，无需使用任何个人PAT即可完成git push操作，临时生成的CI_JOB_TOKEN会在任务结束后自动失效，安全性最高：

• 进入目标项目的「设置」-「CI/CD」-「令牌访问」配置页
• 在「CI作业令牌范围」设置中，开启允许CI_JOB_TOKEN推送代码到当前仓库的选项，不同GitLab版本表述可能略有差异，核心是开放仓库写入权限给CI作业令牌
• 将原有git远程地址配置替换为以下命令即可：

git remote add origin "https://gitlab-ci-token:${CI_JOB_TOKEN}@${CI_REPOSITORY_URL#*@}"

方案3：项目部署密钥（适合团队共用写入权限的场景） #

如果不需要单独追溯每个push操作的用户权限归属，可以生成项目专属的部署密钥，配置写入权限后存储到项目级保密CI变量中，无需每个成员管理个人PAT，提交时可以通过以下命令设置提交者信息，保证提交记录和触发流水线的用户对应：

git config user.name "${GITLAB_USER_NAME}"
git config user.email "${GITLAB_USER_EMAIL}"

内容的提问来源于stack exchange，提问作者Sincere Xie