Jenkins流水线Git认证失败：如何使用定义凭据或适配多类型凭据？

全局配置的git config --global credential.helper cache是冲突核心：这个配置会让Git优先调用缓存的旧凭据，完全忽略流水线定义的GitHub App凭据，直接导致认证失败。而问题本质确实是缺失withCredentials步骤（或未正确配置Jenkins Git步骤的凭据）——没显式注入流水线绑定的凭据时，Git只能读取全局缓存的过期凭据，自然触发认证错误。

1. 让流水线直接使用定义的凭据（无需逐个加withCredentials） #

如果用Jenkins原生的git步骤（而非直接在shell里敲Git命令），可以在流水线配置里直接指定凭据ID，Jenkins会自动处理凭据注入，绕过全局缓存，适配多分支流水线的批量场景：

pipeline {
  agent any
  options {
    // 绑定流水线定义的凭据ID
    gitCredentialsId('your-github-app-credential-id')
  }
  stages {
    stage('Checkout') {
      steps {
        git url: 'https://github.com/org/project.git', branch: 'main'
      }
    }
  }
}

这种方式下，不管是GitHub App、用户名密码还是SSH凭据，Jenkins都会自动注入到Git操作上下文，不受全局cache配置影响。

2. withCredentials适配多种凭据类型 #

如果必须在shell中执行Git命令，就得用withCredentials显式注入凭据，不同类型的适配方式如下：

用户名密码（HTTP/HTTPS） #

withCredentials([usernamePassword(credentialsId: 'http-cred-id', usernameVariable: 'GIT_USER', passwordVariable: 'GIT_PASS')]) {
  sh "git fetch https://${GIT_USER}:${GIT_PASS}@github.com/org/project.git"
}

SSH私钥 #

withCredentials([sshUserPrivateKey(credentialsId: 'ssh-cred-id', keyFileVariable: 'SSH_KEY')]) {
  sh """
    git config core.sshCommand "ssh -i ${SSH_KEY}"
    git fetch git@github.com:org/project.git
  """
}

GitHub App（推荐搭配Jenkins GitHub App插件） #

插件会自动生成临时访问token，无需手动处理私钥，更安全：

withCredentials([githubApp(credentialsId: 'github-app-cred-id', gitUsernameVariable: 'GIT_USER', gitPasswordVariable: 'GIT_TOKEN')]) {
  sh "git push https://${GIT_USER}:${GIT_TOKEN}@github.com/org/project.git main"
}

3. 全局层面的折中方案（不影响其他流水线） #

如果不想修改大量流水线，可以针对特定仓库设置局部Git配置，覆盖全局cache：
在Jenkins节点上执行：

git config --global credential.https://github.com/org/project.helper ""

这样针对该仓库，Git会跳过全局缓存，优先使用Jenkins注入的凭据，适合批量处理多分支仓库的场景。

内容的提问来源于stack exchange，提问作者piecia