如何在Jenkins中将Secret String设置为全局可用的环境变量？

问题原因 #

• withCredentials 是Jenkins的安全封装块，其中的变量默认仅在块内部有效，离开代码块后会被自动清理，这是防止敏感数据泄露的设计。
• 你在sh步骤里执行的export SECRET_KEY="$SECRET_KEY"不会生效到Jenkins主环境，因为每个sh步骤都是独立的子shell，子shell的环境变量无法传递回Jenkins运行环境。

解决方法 #

方法1：手动将变量存入Jenkins全局环境（谨慎使用）

如果必须在块外使用凭据，可以在withCredentials块内将变量赋值给Jenkins的env对象，这样块外也能访问。但要注意，这会让敏感数据进入全局环境，后续所有步骤都能访问，需严格控制使用范围：

withCredentials([string(credentialsId: 'SECRET_KEY', variable: 'SECRET_KEY')]) {
    env.SECRET_KEY = SECRET_KEY
    sh '''
        echo "SECRET_KEY: $SECRET_KEY"
    '''
    echo "SECRET_KEY: ${env.SECRET_KEY}"
}
echo "SECRET_KEY: ${env.SECRET_KEY}"

方法2：将所有用到密钥的逻辑放在块内（推荐）

遵循Jenkins的安全设计，把需要使用凭据的脚本、步骤都放在withCredentials代码块中，避免敏感数据扩散：

withCredentials([string(credentialsId: 'SECRET_KEY', variable: 'SECRET_KEY')]) {
    sh '''
        echo "SECRET_KEY: $SECRET_KEY"
        // 在这里执行所有需要用到SECRET_KEY的操作，比如API调用、部署脚本等
    '''
    echo "SECRET_KEY: ${env.SECRET_KEY}"
    // 其他依赖密钥的Jenkins步骤也放在此块内
}

方法3：通过临时文件传递（适合多shell步骤场景）

如果需要在多个独立的sh步骤间传递凭据，可以将密钥写入临时文件，使用后立即删除：

withCredentials([string(credentialsId: 'SECRET_KEY', variable: 'SECRET_KEY')]) {
    sh '''
        echo "$SECRET_KEY" > /tmp/secret.tmp
        // 后续脚本从临时文件读取密钥
        cat /tmp/secret.tmp
        // 使用完成后删除文件
        rm /tmp/secret.tmp
    '''
}

内容的提问来源于stack exchange，提问作者Patlatus