GitLab CLI Skills

核心用法

glab 是 GitLab 官方命令行工具，提供对 GitLab 全功能的终端访问。核心工作流包括：

认证与配置：glab auth login 完成初始认证，支持 OAuth 和 PAT 两种方式，令牌存储于 ~/.config/glab-cli/config.yml。

日常开发：glab mr create --fill 从当前分支创建 MR，glab issue create 管理事务，glab ci view 查看流水线状态。支持 --draft/--ready 状态切换和自动化合并 --when-pipeline-succeeds。

代码审查：glab mr list --reviewer=@me 列出待审 MR，glab mr checkout 切换到 MR 分支，glab mr diff 查看差异，支持内联评论 glab mr note。

CI/CD 调试：glab ci status/glab ci view 查看流水线，glab ci trace <job-id> 获取实时日志，glab ci retry 重试失败任务，glab ci artifact 下载构建产物。

项目与仓库：glab repo clone/fork 管理仓库，glab repo view --web 浏览器打开，glab release create 处理软件发布。

扩展能力：30+ 子技能覆盖 label、milestone、runner、schedule、secure file、deploy key、snippet、user 等；glab-api 支持直接 REST 调用；glab-mcp 提供 Model Context Protocol 服务器用于 AI 集成。

显著优点

• 功能完整：几乎覆盖 GitLab Web UI 全部功能，减少浏览器切换
• 自动化友好：适合脚本化、批量操作和 CI 流水线集成
• 决策清晰：内置多决策树（MR vs Issue、CI 命令选择、clone vs fork）
• 子技能架构：按需路由到专业化模块，降低认知负荷
• 工作流内置：提供 scripts/create-mr-from-issue.sh、ci-debug.sh 等现成脚本

潜在局限

• 审查体验：复杂 diff 审查、内联评论可视化仍不如 Web UI
• 冲突解决：无可视化合并冲突解决能力
• 高级搜索：跨项目高级搜索/过滤功能有限
• 权限配置：仓库设置、组级权限管理需回 Web UI
• 实验性功能：glab-runner-controller 和 glab-mcp 标记为 EXPERIMENTAL

适合人群

• 终端优先的开发者日常 GitLab 操作
• DevOps/SRE 工程师编写 GitLab 自动化脚本
• 需要批量处理 MR/issue 的维护者
• 将 GitLab 操作集成到 CI/CD 流水线的场景

常规风险

• 令牌安全：认证令牌存储于本地 YAML 文件，需保护 ~/.config/glab-cli/ 目录权限
• 敏感文件访问：脚本可能访问 ~/.ssh/id_rsa（DPoP）和 ~/.docker/config.json（registry auth）
• 写权限代理：自动化脚本可代表用户发表评论、解决线程、批准 MR，需在 agentic 场景下审查 post-inline-comment.py 等脚本内容
• 网络暴露：仅支持 HTTPS，令牌不会通过 HTTP 明文传输

核心用法

glab 是 GitLab 官方维护的命令行工具，提供与 GitLab Web UI 等价的全功能终端操作能力。该 Skill 整合 37+ 子技能，覆盖六大核心领域：

• 代码协作：glab mr（创建/审查/合并MR）、glab issue（Issue全生命周期管理）、glab review（代码审查工作流）
• CI/CD：glab ci（流水线状态查看、日志追踪）、glab job（单任务操作）、glab schedule（定时任务）
• 项目管理：glab milestone、glab iteration、glab label、glab release
• 认证配置：glab auth login（存储token于~/.config/glab-cli/config.yml）、SSH/GPG密钥管理
• 仓库操作：glab repo（克隆/分叉/创建）、glab deploy-key
• 高级功能：glab api（直接REST调用）、glab stack（堆叠MR）、glab attestation（供应链安全）

典型工作流：glab issue create → git checkout -b feature → glab mr create --fill → glab mr merge --when-pipeline-succeeds

显著优点

1. 终端原生效率：无需浏览器上下文切换，批量操作（如批量更新MR标签）效率提升10倍以上
2. 脚本自动化友好：所有命令返回结构化数据（JSON/YAML），易于集成到CI/CD流水线
3. GitLab官方背书：与GitLab产品更新同步，API兼容性最佳
4. 安全设计完善：Token通过PRIVATE-TOKEN头部HTTPS传输，Python脚本实现输入验证白名单，无硬编码凭证
5. 决策树辅助：内置"MR vs Issue优先"、"克隆vs分叉"等决策逻辑，降低使用门槛

潜在局限

1. 视觉评审劣势：复杂diff审查、行内评论、可视化冲突解决仍需Web UI
2. 企业版功能限制：部分高级功能（如Duo AI、SAML组同步）需GitLab EE许可
3. 认证文件敏感：默认存储token于本地YAML文件，共享机器需注意~/.config/glab-cli/权限
4. 间接提示词注入风险：从GitLab获取的外部内容（CI日志、Issue标题）可能被恶意注入指令，需依赖用户正确处理标记

适合人群

• DevOps工程师：CI/CD流水线调试、自动化发布
• 后端开发者：高频MR/Issue操作、终端-centric工作流
• 开源贡献者：快速fork/clone、批量管理多仓库PR
• 运维人员：Runner管理、流水线监控

常规风险

| 风险类型 | 等级 | 说明 |

|---------|------|------|

| 凭证泄露 | 低 | Token存储于本地文件，需确保`~/.config/glab-cli/`权限为600 |

| 提示词注入 | 中 | 外部内容（CI日志/MR描述）需标记为不可信，避免AI Agent执行嵌入指令 |

| 网络中间人 | 低 | 已强制HTTPS+SSL验证，无HTTP降级风险 |

| 权限误操作 | 中 | `glab mr merge`等写操作支持`--when-pipeline-succeeds`保护，但仍需二次确认 |

安全建议：自动化使用前审查scripts/目录内容，确认GITLAB_TOKEN环境变量或glab auth login已配置，避免在共享环境存储长期有效token。