如何在Jenkins流水线中将凭据实际值注入deploy.sh文件

开发者阿泽

2026-7-4

问题分析与解决方案

你的问题核心是Jenkins对敏感凭据的自动掩码机制，加上shell命令的引号使用不当，导致替换后文件中出现掩码值****而非真实密钥。以下是几种可靠的解决方法：

方法1：Groovy插值结合sed命令

修改流水线中的sh命令，使用Groovy双引号包裹，让Groovy先将凭据变量替换为真实值，再传递给shell执行：

script {
    withCredentials([string(credentialsId: 'data_public_key', variable: 'public_key')]) {
        sh "sed -i 's/pub_key/${public_key}/g' deploy.sh"
    }
}

说明：Jenkins日志中会显示****（掩码敏感值），但实际写入deploy.sh的是真实密钥。

方法2：避免特殊字符冲突（适合含特殊符号的密钥）

如果密钥包含/这类sed默认分隔符，会破坏sed语法，可更换分隔符（如#），同时用shell环境变量展开：

script {
    withCredentials([string(credentialsId: 'data_public_key', variable: 'public_key')]) {
        sh '''sed -i "s#pub_key#$public_key#g" deploy.sh'''
    }
}

说明：三个单引号让Groovy不插值，shell直接读取Jenkins注入的环境变量$public_key，更换分隔符避免特殊字符干扰。

方法3：Groovy读写文件（多变量替换首选）

如果需要同时替换pub_key和pri_key，直接用Groovy的文件操作更直观、可靠：

script {
    withCredentials([
        string(credentialsId: 'data_public_key', variable: 'public_key'),
        string(credentialsId: 'data_private_key', variable: 'private_key')
    ]) {
        def deployContent = readFile('deploy.sh')
        deployContent = deployContent.replaceAll('pub_key', public_key)
        deployContent = deployContent.replaceAll('pri_key', private_key)
        writeFile(file: 'deploy.sh', text: deployContent)
    }
}