Jenkins流水线中兼顾凭证安全与URL变量替换的实现方案问询

完全不需要依赖外部脚本，Jenkins内部就能搞定，核心是区分Groovy字符串插值和Shell变量解析，避免敏感凭证被Groovy提前替换泄露。下面给几种实用方案：

方案1：单引号Shell脚本+环境变量传递 #

用单引号包裹Shell命令（Groovy不会解析单引号内的${xxx}），同时把变量（包括凭证）通过Jenkins环境变量传递给Shell，让Shell自己解析变量：

pipeline {
    agent any
    environment {
        // 非敏感业务变量
        EXTENSION = 'api/v1/user/list'
    }
    stages {
        stage('安全调用API') {
            steps {
                withCredentials([usernamePassword(
                    credentialsId: 'your-cred-id',
                    usernameVariable: 'API_USER',
                    passwordVariable: 'API_PASS'
                )]) {
                    // 单引号内的${xxx}由Shell解析，Groovy不会碰，避免凭证泄露
                    sh '''
                        curl -u "${API_USER}:${API_PASS}" "https://your-site.com/${EXTENSION}"
                    '''
                }
            }
        }
    }
}

说明：withCredentials会把凭证注入到流水线环境变量，environment块的业务变量也会进入环境，Shell可以直接读取这些变量，全程Groovy不会插值敏感内容。

方案2：双引号Shell脚本+转义Shell变量 #

如果习惯用双引号写Shell命令，只要对Shell变量的$加反斜杠转义，让Groovy把\$原样传给Shell，就不会触发Groovy插值：

withCredentials([usernamePassword(credentialsId: 'your-cred-id', usernameVariable: 'API_USER', passwordVariable: 'API_PASS')]) {
    // 用\$告诉Groovy不要解析，让Shell自己处理变量
    sh "curl -u \${API_USER}:\${API_PASS} \"https://your-site.com/\${EXTENSION}\""
}

说明：这种写法要注意双引号内的引号转义（比如URL用\"包裹），但同样能避免Groovy泄露凭证。

方案3：提前构建非敏感URL到环境变量 #

如果URL的可变部分是非敏感的，可以提前用Groovy拼接好URL，再让Shell读取：

pipeline {
    agent any
    environment {
        EXTENSION = 'api/v1/data'
        // Groovy插值非敏感变量，生成完整URL
        TARGET_URL = "https://your-site.com/${EXTENSION}"
    }
    stages {
        stage('安全调用API') {
            steps {
                withCredentials([usernamePassword(...)]) {
                    sh '''
                        curl -u "${API_USER}:${API_PASS}" "${TARGET_URL}"
                    '''
                }
            }
        }
    }
}

说明：这里只有非敏感的EXTENSION被Groovy插值，敏感凭证依然由Shell从环境变量读取，安全且简洁。

内容的提问来源于stack exchange，提问作者Alex