在Jenkins声明式流水线中使用K8S Secret作为构建步骤环境变量

问题背景 #

已通过Pod YAML配置将K8S Secret secret-credentials中的pypi-admin-pwd字段注入到Python容器的PYPI_PWD环境变量，但在声明式流水线的sh步骤中无法正确调用该变量，且Kubernetes插件的secretEnvVar仅支持脚本式流水线。需保留声明式+Pod YAML方案，且不使用Jenkins凭证。

核心原因 #

Jenkins会优先解析双引号包裹的${PYPI_PWD}为Jenkins全局变量，而非容器内部的环境变量，导致变量引用失效。

可行解决方案 #

方案1：用单引号包裹Shell命令 #

让Jenkins不进行变量插值，直接将命令传递给容器Shell解析环境变量：

stage("Publish") {
  when {
    expression { push_branches.contains(this_branch) }
  }
  steps {
    echo "Pushing wheel and Docker image"
    container("python") {
      echo "Pushing wheel, src distributions to PyPi"
      sh('python -m twine upload --repository-url https://pypi.shared-services.605.nu dist/* --user admin --password ${PYPI_PWD}')
    }
  }
}

方案2：转义$符号（适用于需混合Jenkins变量的场景） #

如果命令中需要同时使用Jenkins变量和容器环境变量，可转义容器环境变量的$符号，避免Jenkins提前解析：

stage("Publish") {
  when {
    expression { push_branches.contains(this_branch) }
  }
  steps {
    echo "Pushing wheel and Docker image"
    container("python") {
      echo "Pushing wheel, src distributions to PyPi"
      sh("""python -m twine upload --repository-url https://pypi.shared-services.605.nu dist/* --user admin --password \${PYPI_PWD}""")
    }
  }
}

额外检查项 #

确保Jenkins使用的ServiceAccount dev-jenkins拥有访问secret-credentials Secret的RBAC权限，否则容器无法读取Secret值。

内容的提问来源于stack exchange，提问作者JonathanC