GitLab CI运行器无法解析SSH远程命令中$(<文件)表达式导致流水线失败

核心逻辑错位 #

执行失败的原因和GitLab Runner权限、远程服务器的语法支持没有关系，本质是Shell解析顺序不对：

• 你写的SSH远程执行命令整体用双引号包裹，Runner所在的本地执行环境，会优先对双引号里的所有内容做命令替换、变量展开，根本不会等到把命令传到远程服务器再解析
• 你代码里写的$(< old)、$(< current)、$(< new) 本来的设计是让远程服务器的Shell去执行（因为这三个临时文件全部存在远程服务器的项目目录下），但因为双引号没有阻断本地解析流程，Runner在本地环境就提前执行了这几个表达式，尝试读取本地工作目录下的对应文件
• Runner本地的项目工作目录里根本不存在这三个临时文件，自然就报出old: No such file or directory的错误；后续命令替换的结果为空，拼出来的Docker镜像标签不符合格式要求，就触发了Docker的invalid reference format报错
• 你手动在服务器上操作能完全跑通，是因为整个过程都是在远程服务器的Shell里执行，没有本地环境提前解析的环节，自然能正常读取目录下的文件内容

方案1：转义需要远程执行的命令替换符号 #

核心思路：把所有需要在远程Shell解析的表达式，在开头的$前面加反斜杠\转义，阻止本地Shell提前展开，让这些表达式原封不动传到远程服务器执行。
这里要注意区分两类表达式的处理方式：

• GitLab CI的内置/自定义变量（比如$SSH_CONNECTION、$PROJECT_NAME、$BRANCH）：这些需要Runner本地提前替换成实际值，不需要转义
• 远程Shell的命令替换（比如读取临时文件内容的$(< 文件名)）：这些需要远程Shell解析，开头的$必须加反斜杠转义

修正后的create_docker_container任务配置：

create_docker_container:
  stage: create
  script:
    - ssh $SSH_CONNECTION "cd /$PROJECT_NAME && docker images ${PROJECT_NAME}_old --format='{{ .Tag }}' > old && docker image rm ${PROJECT_NAME}_old:\$(< old) && docker tag ${PROJECT_NAME}:\$(< current) ${PROJECT_NAME}_old:\$(< current) && docker image rm ${PROJECT_NAME}:\$(< current) && docker build -t ${PROJECT_NAME}:\$(< new) . && exit"

方案2：字符串拼接，避免满屏转义符 #

如果觉得逐行加反斜杠容易漏写错写，可以用Shell的字符串拼接逻辑：把需要本地解析的内容用双引号包裹，把需要远程解析的内容用单引号包裹（单引号内的内容本地Shell完全不处理），两段字符串直接相邻就会自动拼接成完整命令，不需要额外转义。
同一段命令的拼接写法示例：

create_docker_container:
  stage: create
  script:
    - ssh $SSH_CONNECTION 'cd /'"$PROJECT_NAME"' && docker images '"$PROJECT_NAME"'_old --format="{{ .Tag }}" > old && docker image rm '"$PROJECT_NAME"'_old:$(< old) && docker tag '"$PROJECT_NAME"':$(< current) '"$PROJECT_NAME"'_old:$(< current) && docker image rm '"$PROJECT_NAME"':$(< current) && docker build -t '"$PROJECT_NAME"':$(< new) . && exit'

$(< 文件名)是Bash专属的快速读文件语法，如果远程服务器的默认登录Shell不是Bash（比如Debian默认的dash、Alpine内置的sh），这个语法会直接执行失败。
可以把所有读文件的表达式替换成全POSIX兼容的通用写法 $(cat 文件名)，不管远程是什么Shell环境都能正常运行。比如原来的转义读文件写法：

# 仅Bash支持
\$(< old)
# 全环境兼容
\$(cat old)

• 你的两个流水线任务（update更新代码、create构建容器）虽然运行在独立的Runner容器中，但所有临时文件（current/new/old）都存在远程服务器的项目目录下，不存在流水线任务间的文件传递问题，只要解决Shell解析错位的问题即可正常跑通
• 写SSH远程执行命令时，一定要明确区分哪些变量/表达式是本地Runner要解析的，哪些是远程服务器要解析的，避免出现本地提前解析、远程拿不到值的低级错误

内容的提问来源于stack exchange，提问作者CptSnuggles