Windows环境下Jenkins withCredentials凭证变量无法获取真实密码求助

我是Jenkins新手，使用Windows平台上的2.492.2版本，无法通过Shell/环境变量从withCredentials中获取密码。我尝试了多种写法，但发现进程级的环境变量被显示为“*** Not Valid For Display ***”，无论怎么在脚本中访问都拿不到真实密码。我的目标是在pwsh{}块内把密码传递给PowerShell函数，相关代码及环境变量输出如下：

pipeline {
    agent any
    stages {
        stage('Cred Test') {
            steps {
                withCredentials([usernamePassword(credentialsId: 'xxxx', passwordVariable: 'impersonation_userpw', usernameVariable: 'impersonation_username')]) {
                    pwsh(returnStdout: true, script: '''
                        
                        $pw = $env:impersonation_userpw
                        Write-Warning \"# $pw\"

                        Write-Host $(Get-ChildItem Env: | %{
                            $len = [Math]::Min(10,$_.Value.Length)
                            \"{0}`t{1}....`r`n\" -f $_.Name,$_.Value.substring(0,$len)}
                        )
''')
                }
            }
        }
    }
}

环境变量输出：

HUDSON_HOME    C:\data\Je....
 HUDSON_SERVER_COOKIE   015d679e37....
 HUDSON_URL http://loc....
 impersonation_username svc-se......
 impersonation_userpw   *** Not Va....
 JAVA_HOME  C:\Program....
 JENKINS_HOME   C:\data\Je....
 JENKINS_NODE_COOKIE    4573f16f-0....
 JENKINS_SERVER_COOKIE  durable-bf....
 JENKINS_URL    http://loc....
 JOB_BASE_NAME  Pipeline D....

这是Jenkins的日志掩码保护机制，不是环境变量没拿到真实密码——真实密码其实已经存在于环境变量中，只是Jenkins会自动替换所有日志输出里的密码内容，防止敏感信息泄露。你看到的“*** Not Valid For Display ***”只是日志里的占位符，实际在PowerShell脚本内部，$env:impersonation_userpw已经是真实的密码值了。

正确用法示例 #

不要直接输出密码到日志（这本身也不安全），而是直接用它执行实际操作，比如创建PowerShell凭据对象，或者调用你的目标函数：

pipeline {
    agent any
    stages {
        stage('Cred Test') {
            steps {
                withCredentials([usernamePassword(credentialsId: 'xxxx', passwordVariable: 'impersonation_userpw', usernameVariable: 'impersonation_username')]) {
                    pwsh(returnStdout: true, script: '''
                        # 创建安全凭据对象，避免明文处理
                        $securePw = ConvertTo-SecureString $env:impersonation_userpw -AsPlainText -Force
                        $cred = New-Object System.Management.Automation.PSCredential ($env:impersonation_username, $securePw)

                        # 直接调用你的PowerShell函数，传入凭据或密码
                        # Your-Target-Function -Credential $cred
                        # 或者如果函数需要明文密码：Your-Target-Function -Password $env:impersonation_userpw

                        # 注意：不要用Write-Host/Write-Warning输出密码，Jenkins会屏蔽，也不安全
                        Write-Host "凭据已创建，用户名：$($cred.UserName)"
                    ''')
                }
            }
        }
    }
}

关键说明 #

1. Jenkins的掩码会扫描所有输出内容，只要匹配到密码的明文，就会替换成占位符，所以你看不到真实值，但脚本内部可以正常使用。
2. 永远不要在日志中输出明文密码，这是安全规范，Jenkins的机制也是在强制这个规范。
3. 如果必须验证密码是否正确，可以通过执行依赖密码的操作（比如登录某个服务）来间接验证，而不是输出密码。

内容的提问来源于stack exchange，提问作者user594102