Jenkins中JWT凭据在控制台与UI暴露，如何实现掩码？

我在Jenkins Pipeline中使用Mask Password插件时，发现它对"password"或"pass"这类短字符串能正常实现掩码，但传入JWT格式的令牌时，该凭据会直接暴露在控制台和UI输出中。现有脚本示例如下：

...
def runRegressionTests(token) {
  stage("regression tests") {
    withCredentials([string(credentialsId: "my-encrypt-key", variable: 'encryptKey')]) {
      maskPasswords(varPasswordPairs: [[password: "${token}"]]) {
        sh "./gradlew regressionTestsNoFeedback " +
        "-PencryptKey=${encryptKey} " +
        "-Ptoken=${token} " +
        "--continue"
      }
    }
  }
}
...

以及：

...
def runRegressionTests(token) {
  stage("regression tests") {
    withCredentials([string(credentialsId: "my-encrypt-key", variable: 'encryptKey')]) {
      wrap([$class: 'MaskPasswordsBuildWrapper', varPasswordPairs: [[password: "${token}"]]]) {
        sh "./gradlew regressionTestsNoFeedback " +
        "-PencryptKey=${encryptKey} " +
        "-Ptoken=${token} " +
        "--continue"
      }
    }
  }
}
...

针对JWT值的控制台和UI输出掩码问题，可通过以下方法解决：

核心原因 #

Mask Password插件默认对短字符串的掩码匹配更严格，而JWT作为长字符串（通常包含.分隔的三段Base64编码内容），可能未被插件的默认规则覆盖，或者仅通过varPasswordPairs绑定变量无法完全拦截所有输出场景。

一、控制台输出掩码实现 #

1. 扩展插件掩码规则
   进入Jenkins全局配置，找到Mask Passwords插件设置：

   • 勾选Mask all build variables选项，确保所有构建变量都被纳入掩码范围
   • 在Global passwords to mask中添加JWT的完整值（如果是动态生成的令牌，可通过Pipeline将变量传入该配置），或者添加JWT的特征前缀（比如eyJ）作为掩码匹配规则

2. 优化Pipeline脚本的掩码配置
   在maskPasswords或wrap块中同时指定globalPasswordPairs，强制将JWT值加入全局掩码列表，确保控制台输出中出现的所有匹配字符串都被替换：

   def runRegressionTests(token) {
     stage("regression tests") {
       withCredentials([string(credentialsId: "my-encrypt-key", variable: 'encryptKey')]) {
         maskPasswords(
           varPasswordPairs: [[password: "${token}"]],
           globalPasswordPairs: [[password: "${token}"]]
         ) {
           sh "./gradlew regressionTestsNoFeedback " +
           "-PencryptKey=${encryptKey} " +
           "-Ptoken=${token} " +
           "--continue"
         }
       }
     }
   }
   

3. 减少敏感参数的日志输出
   修改gradle任务的日志配置，禁止打印命令行参数；或者在调用gradlew时添加--quiet参数，降低日志级别，避免JWT参数被直接打印到控制台。

二、UI输出掩码实现 #

1. 启用全局变量掩码
   在Jenkins全局配置的Mask Passwords插件设置中，确保Mask all build variables选项处于启用状态，这样Jenkins UI中展示的构建环境变量、参数等内容会自动掩码敏感值。

2. 避免在UI字段中暴露JWT
   检查Pipeline脚本，确保没有将JWT值写入构建描述、构建参数展示等UI可见的字段中；如果需要记录相关信息，仅保留非敏感部分（比如令牌的过期时间，而非完整令牌）。

3. 配合Credentials插件的安全绑定
   尽量通过withCredentials直接绑定敏感变量，避免将JWT值作为明文参数传递，减少其在Jenkins UI中被暴露的可能性。

内容的提问来源于stack exchange，提问作者talgat-aitchanov-kn