使用HashiCorp Vault插件在Jenkins流水线中获取Vault密钥时变量显示为星号的问题

首先得说清楚：你看到$github_token显示成星号，是Jenkins的敏感变量自动掩码机制在起作用——从HashiCorp Vault获取的密钥默认会被标记为敏感信息，Jenkins自动把它替换成星号，防止泄露，这是安全设计。但你真正的问题其实是变量没在Git URL里正确生效，而不是非要显示令牌本身（毕竟随便展示敏感令牌是高风险操作）。

接下来拆解你代码里的问题，再给你修正方案：

代码里的问题点 #

1. Shell变量赋值多了空格：git_url= https://... 里的空格会导致赋值失败，git_url根本拿不到正确的URL。
2. 单引号导致变量无法解析：Jenkins Pipeline里，单引号''会把内容当作文本字面量，不会替换环境变量；只有双引号""才会解析变量。
3. Git步骤里用单引号包裹变量：同样会让$git_url被当作字符串，没法解析成实际的仓库地址。

修改后的流水线代码 #

方案1：直接在Git步骤中使用环境变量（推荐） #

没必要额外定义git_url，直接在git步骤里拼接URL，记得用双引号：

def secrets = [ [path: 'ddci/data/test', engineVersion: 2, secretValues: [ [envVar: 'github_token', vaultKey: 'token'] ]] ]
def configuration = [vaultUrl: 'https://vault.tools.sap/', vaultNamespace: 's4', vaultCredentialId: 'hashicorp_vault', skipSslVerification: true, engineVersion: 2]
pipeline {
    agent any
    stages{
        stage('use token to authenticate GITHub') {
            steps {
                withVault([configuration: configuration, vaultSecrets: secrets]) {
                    // 用双引号让Jenkins解析github_token变量
                    git url: "https://username:${github_token}@github.tools.sap/AZURE-PIPELINES-SYSDEV/decdev-ci-verification", branch: 'master'
                }
            }
        }
    }
}

方案2：先定义Shell变量再使用 #

如果一定要先存git_url变量，得修正Shell步骤的写法：

def secrets = [ [path: 'ddci/data/test', engineVersion: 2, secretValues: [ [envVar: 'github_token', vaultKey: 'token'] ]] ]
def configuration = [vaultUrl: 'https://vault.tools.sap/', vaultNamespace: 's4', vaultCredentialId: 'hashicorp_vault', skipSslVerification: true, engineVersion: 2]
pipeline {
    agent any
    stages{
        stage('use token to authenticate GITHub') {
            steps {
                withVault([configuration: configuration, vaultSecrets: secrets]) {
                    sh '''
                        # 去掉赋值的空格，用双引号解析环境变量
                        git_url="https://username:${github_token}@github.tools.sap/AZURE-PIPELINES-SYSDEV/decdev-ci-verification"
                        # 这里如果echo git_url，Jenkins会把token部分掩码，但git命令能正常用
                        git clone $git_url -b master
                    '''
                }
            }
        }
    }
}

关于“显示令牌实际值”的提醒 #

如果你确实要调试看令牌（真的非常不推荐，会泄露敏感信息），哪怕你修改代码打印，Jenkins的掩码机制依然会拦截。强烈建议不要这么做，敏感令牌只用来做授权操作就好，别随便输出。

内容的提问来源于stack exchange，提问作者Michal Škultěty