如何访问并分析动态生成的Jenkins流水线？

针对你这种主流水线调用共享库动态生成最终流水线（无实体Jenkinsfile）的场景，有几种可行的分析方案，分执行前静态分析和执行期间分析两类：

一、执行前静态分析 #

这类方案的核心是先捕获共享库生成的流水线DSL代码或结构，再做规则校验，不实际执行流水线。

1. 改造共享库，返回可分析的DSL内容 #

修改共享库中生成流水线的逻辑，让它返回流水线DSL的字符串或Groovy闭包，而非直接执行。之后你可以：

• 用Jenkins官方的pipeline-linter工具做基础语法和合规性校验
• 自己编写Groovy脚本解析DSL的AST（抽象语法树），实现自定义规则检查（比如禁止敏感命令、强制必须阶段）

示例代码：

// 共享库中的生成方法（修改后）
def generatePipeline() {
    return """
        pipeline {
            agent any
            stages {
                stage('Build') {
                    steps {
                        sh 'mvn clean install'
                    }
                }
            }
        }
    """
}

// 主流水线中的分析逻辑
def pipelineDsl = library('shared-lib').generatePipeline()

// 1. 用pipeline-linter做基础校验
sh "echo '${pipelineDsl}' | java -jar jenkins-cli.jar -s ${JENKINS_URL} pipeline-linter"

// 2. 自定义AST分析
def ast = new GroovyShell().parse(pipelineDsl).ast
ast.statements.each { stmt ->
    if (stmt instanceof MethodCallExpression && stmt.methodAsString == 'sh') {
        def cmd = stmt.arguments.expressions[0].value
        if (cmd.contains('--secret')) {
            error '流水线包含敏感命令参数，终止执行'
        }
    }
}

// 分析通过后执行流水线
eval(pipelineDsl)

2. 模拟流水线生成，捕获结构信息 #

利用Jenkins的Pipeline API，在临时上下文里运行共享库的生成逻辑，捕获生成的FlowDefinition对象，然后遍历这个对象的结构做分析（比如检查阶段数、是否包含指定步骤）。这种方式不需要暴露DSL字符串，适合更复杂的流水线结构。

示例思路：

// 在预运行阶段模拟生成流水线
def pipelineDef = library('shared-lib').createPipelineDefinition()
// 遍历流水线结构
def stages = pipelineDef.getStages()
if (!stages.any { it.name == 'SecurityCheck' }) {
    error '流水线缺少强制的安全检查阶段'
}
// 分析通过后正式执行
build(job: '正式流水线', parameters: [string(name: 'PIPELINE_DEF', value: pipelineDef.serialize())])

二、执行期间分析 #

这类方案在流水线执行过程中实时监控或插装，适合需要动态校验执行状态的场景。

1. 共享库层面注入钩子 #

在共享库生成流水线时，自动用自定义的包装步骤包裹所有核心步骤。包装步骤可以在执行前后做参数校验、日志记录或规则检查，无需修改Jenkins核心。

示例代码：

// 共享库中的包装方法
def safeStep(Closure step) {
    // 执行前校验
    def stepMeta = step.getMetaClass()
    if (stepMeta.methods.any { it.name == 'sh' }) {
        def cmd = step.call().arguments[0]
        if (cmd.contains('rm -rf /')) {
            error '禁止执行危险系统命令'
        }
    }
    // 执行原步骤
    step()
    // 执行后记录
    echo "步骤执行完成: ${stepMeta.className}"
}

// 共享库生成流水线时使用包装方法
def generatePipeline() {
    return {
        pipeline {
            agent any
            stages {
                stage('Build') {
                    steps {
                        safeStep { sh 'mvn clean install' }
                    }
                }
            }
        }
    }
}

2. 自定义Jenkins运行器插装 #

通过扩展Jenkins的Pipeline插件，实现StepExecutionListener或WorkflowRunListener，监听流水线步骤的执行事件，实时做动态分析（比如检查步骤权限、执行时长）。这种方式对所有流水线生效，无需修改共享库。

示例Java代码（需打包成Jenkins插件）：

import hudson.Extension;
import org.jenkinsci.plugins.workflow.steps.StepExecution;
import org.jenkinsci.plugins.workflow.steps.StepExecutionListener;

@Extension
public class PipelineAuditListener implements StepExecutionListener {
    @Override
    public void started(StepExecution execution) {
        String stepName = execution.getDescriptor().getDisplayName();
        // 校验步骤是否在允许列表中
        if (!ALLOWED_STEPS.contains(stepName)) {
            execution.getContext().onFailure(new Exception("未授权步骤: " + stepName));
        }
    }

    @Override
    public void completed(StepExecution execution) {
        long duration = System.currentTimeMillis() - execution.getStartTime();
        // 记录超长执行步骤
        if (duration > 300000) { // 5分钟
            System.out.println("步骤执行超时: " + execution.getDescriptor().getDisplayName());
        }
    }

    private static final Set<String> ALLOWED_STEPS = Set.of("sh", "echo", "maven");
}

3. 监听Jenkins Pipeline事件 #

利用Jenkins的事件机制，订阅流水线运行的阶段、步骤事件，通过内置的审计日志或自定义日志做分析。比如通过WorkflowRunListener监听流水线的启动、阶段切换、结束等事件，收集执行数据并做合规检查。

内容的提问来源于stack exchange，提问作者Garcel