GitLab Webhook 触发 Jenkins Pipeline：Push、Tag 与 Merge Request 自动构建

Posted 2022-01-12 Updated 9 days ago

By Ryan Chen

10~14 min read

GitLab Webhook 可以在代码 Push、创建 Tag、提交 Merge Request 时主动通知 Jenkins，从而触发自动构建、测试、扫描和部署。

这篇文章整理 GitLab Webhook 触发 Jenkins Pipeline 的配置方法，并补充 Secret Token、安全配置和常见问题排查。

CI/CD 系列文章

本文属于 Jenkins + GitLab + SonarQube CI/CD 系列，相关内容可以继续阅读：

前提条件

需要准备：

Jenkins 已安装 GitLab 插件或使用 Generic Webhook Trigger。
Jenkins Job 或 Multibranch Pipeline 已创建。
Jenkins 能访问 GitLab 仓库。
GitLab 能访问 Jenkins Webhook URL。

Jenkins 侧配置

推荐使用 Pipeline，而不是只依赖 Freestyle。

Jenkinsfile 示例：

pipeline {
  agent any
  stages {
    stage('Checkout') {
      steps { checkout scm }
    }
    stage('Build') {
      steps { sh 'mvn -B clean package -DskipTests' }
    }
  }
}

如果使用 GitLab 插件，在 Job 配置中启用：

Build when a change is pushed to GitLab

记录生成的 Webhook URL。

GitLab 侧配置 Webhook

路径：

Project -> Settings -> Webhooks

配置：

URL：Jenkins 提供的触发地址。
Secret Token：建议填写随机字符串。
Trigger：按需选择 Push events、Tag push events、Merge request events。
SSL verification：生产环境建议开启。

配置完成后点击 Test。

触发事件选择

事件	适用场景
Push events	分支提交自动构建
Tag push events	发布版本自动打包
Merge request events	合并前测试和扫描
Pipeline events	与 GitLab CI 联动

建议：

开发分支 Push 执行快速验证。
Merge Request 执行测试和质量门禁。
Tag 执行正式打包和发布。

Secret Token 安全

不要为了方便直接取消鉴权。更推荐：

GitLab Webhook 配置 Secret Token。
Jenkins 插件校验 Token。
Jenkins URL 不暴露公网，或前置网关鉴权。
对触发日志做审计。

常见问题

1. Url is blocked: Requests to the local network are not allowed

GitLab 默认可能禁止 Webhook 请求本地网络地址。

解决：

Admin Area -> Settings -> Network -> Outbound requests

允许访问本地网络或配置白名单。生产环境应只放行 Jenkins 地址。

2. Webhook 返回 403

常见原因：

Jenkins 权限不足。
Secret Token 不匹配。
Job 未启用 GitLab 触发。
匿名用户没有 Build 权限。

不建议简单取消鉴权。应优先确认插件配置、Token 和 Jenkins 权限策略。

3. Webhook 成功但 Jenkins 没构建

检查：

Job 的触发器是否启用。
分支过滤规则是否匹配。
Jenkins 系统日志。
GitLab Webhook 最近投递记录。

参考资料

指南

License: CC BY 4.0