用途：glab variable 用于管理 CI/CD 流水线所使用的配置与密钥变量，默认作用于当前项目，加 --group 可改为管理群组变量。
主要能力：提供 delete、export、get、import、list、set、update 等子命令，分别用于删除、导出、获取、导入、列出、创建和更新变量。支持 --help、-R/--repo 选择其他仓库（OWNER/REPO、GROUP/NAMESPACE/REPO、完整 URL 或 Git URL 格式）。
使用方式：基本形式为 glab variable [command] [--flags]，例如 glab variable --help。导入导出可配对使用：glab variable export --output json > variables.json，再 glab variable import --input-file variables.json -R group/target-project；也可通过管道在群组间传递，例如 glab variable export --group source-group | glab variable import --group target-group。导入时若目标变量已存在会停止，除非加上 --skip-existing。
群组变量的掩码与隐藏：glab variable set 对群组级变量可正确传递 --masked 与 --hidden，可结合 --protected 使用，例如 glab variable set DEPLOY_TOKEN "$DEPLOY_TOKEN" --group group/subgroup --masked --hidden --protected；可用 glab variable get DEPLOY_TOKEN --group group/subgroup --output json 在不暴露值的情况下核对元数据。
限制：导入仅消费 glab variable export --output json 产生的同结构 JSON 数组，默认读标准输入，或用 --input-file/-i 指定文件。隐藏变量的值不会出现在导出中，导入时会被跳过并给出警告，需用 glab variable set --hidden 从批准的密钥来源显式重建。导出文件应视为敏感数据，避免纳入版本控制，导入前须确认目标项目或群组。掩码与隐藏由服务端强制，不能替代最小权限或轮换；若 GitLab 因不满足掩码规则拒绝某值，不应擅自放宽设置，应修正值格式或获得明确批准。更完整的 --help 输出见 references/commands.md。