GitLab CI/CD 调用Merge Request API持续返回401未授权的问题

CI内置流水线任务类token（CI_JOB_TOKEN、旧版CI_BUILD_TOKEN）本身不具备目标Merge Request接口的访问权限，鉴权失败和传参格式无关。

• 权限边界硬限制：CI_JOB_TOKEN、CI_BUILD_TOKEN是流水线执行的临时任务凭证，默认仅被授权拉取代码、上传下载制品、触发关联流水线三类场景，没有读取项目MR元数据的API权限。无论通过query参数传private_token、设置PRIVATE-TOKEN请求头、使用Bearer认证头传递token，都会被接口拦截返回401。
• 认证通道隔离：任务类token走独立的CI任务认证通道，和用户级Private-Token的认证逻辑完全不互通，不存在换个传参方式就能通过鉴权的可能。
• 脚本自带语法bug：验证脚本里urlBase变量赋值少了收尾的双引号，实际执行时会把后续curl的参数拼到请求URL上，就算权限配置对了也可能触发请求异常。

• 用自定义访问令牌替代内置job token鉴权
  去项目「设置-访问令牌」页面，创建一个仅带read_api权限的访问令牌，把令牌值存为CI/CD变量，需开启Masked、Protected属性匹配MR流水线的运行环境。调用接口时把认证头PRIVATE-TOKEN的值替换成这个自定义令牌变量，就能正常鉴权。
• 绕开API调用直接读内置MR变量
  如果核心需求是获取MR描述，完全没必要调接口：GitLab 15.3+版本默认在MR流水线里自动注入CI_MERGE_REQUEST_DESCRIPTION预定义变量，脚本里直接读这个变量值就能拿到MR详情，彻底规避接口鉴权的问题。
• 给job token加访问白名单（仅GitLab 16.0+版本支持）
  如果一定要用CI_JOB_TOKEN调接口，就去项目「设置-CI/CD-Job token权限配置」里，把Merge Request查询类接口加到允许访问的路径白名单里，配置完才会放行job token对这个接口的请求。

内容的提问来源于stack exchange，提问作者Олег Привалов