在 Jenkins 管道脚本中隐藏密码

Question

我正在尝试在我的 Jenkins 构建中隐藏密码。

我一直在尝试the mask-passwords plugin。

但是，这似乎不适用于我的 Jenkins 流水线脚本，因为如果我定义密码 PASSWD1，然后在脚本中使用它，例如 ${PASSWD1}，我会得到：

No such DSL method '$' found among steps [addToClasspath, ansiColor, ansiblePlaybook, ....]

如果我使用env.PASSWD1，那么它的值将被解析为null。

那么我应该如何在 Jenkins 流水线脚本中屏蔽密码？

Answer 1

最简单的方法是使用Credentials Plugin。

您可以在此处定义不同类型的凭据，无论是单个密码（“秘密文本”）、文件还是用户名/密码组合。此外，其他插件可以提供其他类型的凭据。

当您创建凭证时（通过 Jenkins 主页上的凭证链接），请确保您设置了“ID”。在下面的示例中，我将其命名为my-pass。如果你不设置它，它仍然可以工作，Jenkins 会为你分配一个不透明的 UUID。

无论如何，您都可以使用snippet generator 轻松生成所需的语法。

withCredentials([string(credentialsId: 'my-pass', variable: 'PW1')]) {
    echo "My password is '${PW1}'!"
}

这将使密码仅在此块内的给定变量中可用。如果您尝试打印密码，就像我在这里所做的那样，它将被屏蔽。

Answer 2

看到这个问题，https://issues.jenkins-ci.org/browse/JENKINS-27392，你应该可以做到以下几点：

node {
    wrap([$class: 'MaskPasswordsBuildWrapper', varPasswordPairs: [[password: '123ADS', var: 'SECRET']]]) {
        echo env['SECRET'];
    }
}

但是，如果您查看该问题中的最后一个 cmets，它不起作用，似乎是一个错误。但是，如果您知道秘密并在日志中意外打印了 int ，则它会被隐藏，如下所示：

node {
        wrap([$class: 'MaskPasswordsBuildWrapper', varPasswordPairs: [[password: '123ADS', var: 'SECRET']]]) {
        echo "123ADS";
    }
}

这会产生：

[Pipeline] node
Running on master in workspace/pl
[Pipeline] {
[Pipeline] wrap
[Pipeline] {
[Pipeline] echo
********
[Pipeline] }
[Pipeline] // wrap
[Pipeline] }
[Pipeline] // node
[Pipeline] End of Pipeline
Finished: SUCCESS

关于你得到的错误，No such DSL method '$' found among steps ...，我只是猜测，但你可能直接在管道脚本中使用${VAR}，${...} 仅与 groovy 中的字符串内部相关。

编辑： 或者您可以使用Credentails Plugin 和管道步骤withCredentials：

// Credential d389273c-03a0-45af-a847-166092b77bda is set to a string secret in Jenkins config.
node {
    withCredentials([string(credentialsId: 'd389273c-03a0-45af-a847-166092b77bda', variable: 'SECRET')]) {
        bat """
if ["${SECRET}"] == ["123ASD"] echo "Equal!"
""";
    }
}

这会导致：

[Pipeline] node
Running on master in workspace/pl
[Pipeline] {
[Pipeline] withCredentials
[Pipeline] {
[Pipeline] bat
[pl] Running batch script

workspace/pl>if ["****"] == ["****"] echo "Equal!" 
"Equal!"
[Pipeline] }
[Pipeline] // withCredentials
[Pipeline] }
[Pipeline] // node
[Pipeline] End of Pipeline
Finished: SUCCESS

请注意，此插件将变量直接绑定到闭包，而不是其他环境，例如我可以直接使用变量SECRET。