Gitlab CI条件作业流控制问题：CTF流水线配置求助

一、当前配置的核心问题 #

• rules语法错误：debug作业的if条件写法不符合GitLab CI规则，GitLab CI的if仅支持内置变量、逻辑运算符和字符串比较，不能直接嵌入Shell命令（如wc -l < $FLAG -lt 2）。
• 环境变量传递失效：debug作业未通过needs关联hack，无法获取hack生成的最新FLAG值，导致逻辑断链。
• 关卡递进逻辑缺失：未实现“未解锁flag则重复执行核心流程，解锁后触发存储”的核心逻辑，当前配置无法支撑关卡递进需求。
• store_flag触发逻辑单一：仅依赖打tag触发不够灵活，应结合flag解锁状态实现自动触发。

二、修正后的完整配置 #

stages:
  - setup
  - hack
  - verify
  - store

# 从远程数据库拉取当前关卡flag
set_up:
  stage: setup
  script:
    # 替换为实际从远程数据库获取flag的命令（如curl、数据库客户端调用）
    - echo "FLAG=bandit0" > .env
  artifacts:
    reports:
      dotenv: .env
    expire_in: 1h  # 短期保留，避免资源浪费

# 执行注入脚本，添加重试机制
hack:
  stage: hack
  needs: [set_up]
  retry: 2  # 失败后重试2次，可按需调整
  script:
    - echo "当前攻击关卡: $FLAG"
    # 替换为连接目标服务器注入Python脚本的实际命令
    - python3 exploit_script.py --current-flag "$FLAG" > new_flag.txt
    # 提取脚本输出的新flag，存入.env供后续作业使用
    - echo "FLAG=$(cat new_flag.txt)" > .env
  artifacts:
    reports:
      dotenv: .env
    expire_in: 1h
  rules:
    - if: '$CI_COMMIT_TAG == null'  # 打tag时跳过该作业
      exists: [.env]  # 确保有初始flag才执行

# 输出服务器状态，验证flag是否解锁
debug:
  stage: verify
  needs: [hack]
  script:
    - echo "验证flag状态: $FLAG"
    # 替换为查看CTF服务器内容的实际命令（如ssh、API调用）
    - ssh ctf-target "cat /level/status"
  rules:
    # 未打tag且未达到目标关卡时执行（示例目标为bandit10，可按需修改）
    - if: '$CI_COMMIT_TAG == null && $FLAG != "bandit10"'

# 将解锁的flag存入远程数据库
store_flag:
  stage: store
  needs: [hack]
  script:
    # 替换为存入远程数据库的实际命令
    - curl -X POST https://your-db-endpoint/flag-store -d "flag=$FLAG&level=$(echo $FLAG | cut -d'_' -f2)"
  rules:
    # 两种触发场景：1. 手动打tag；2. flag达到目标关卡自动触发
    - if: '$CI_COMMIT_TAG != null'
    - if: '$FLAG == "bandit10"'

三、流水线与作业边界的选择建议 #

• 无需拆分流水线：你的作业体量小，放在同一条流水线内更高效，拆分多条流水线会增加状态同步、变量传递的复杂度，完全没必要。
• 按职责划分作业：
  • 初始化类作业（set_up）：负责拉取初始状态，作为流水线起点
  • 核心执行类作业（hack）：单独拆分方便配置重试、资源限制，是流水线的核心环节
  • 验证调试类作业（debug）：仅在未完成时执行，用于输出状态排查问题
  • 收尾类作业（store_flag）：满足条件时触发，完成最终存储动作
• 用needs精准控制依赖：每个作业仅关联必要的前置作业，避免无效的资源加载和等待。

四、额外优化方向 #

• 敏感信息隐藏：不要在日志中明文输出flag，可改为echo "当前关卡: $(echo $FLAG | cut -d'_' -f1)***"，避免泄露。
• 失败通知：给hack作业添加失败时的通知逻辑，比如：

  hack:
    # 原有配置...
    after_script:
      - if [ $CI_JOB_STATUS == "failed" ]; then echo "注入失败，关卡: $FLAG" | mail -s "CTF Pipeline Failed" your-email@example.com; fi
  

• 动态目标配置：用CI项目变量（如TARGET_FLAG）代替硬编码的bandit10，无需修改配置即可调整目标关卡。

内容的提问来源于stack exchange，提问作者wavesinaroom