Ansible：如何在shell模块中隐藏密码？

方案一：仅模糊处理密码部分 #

可以通过环境变量传递凭据的方式实现，避免密码出现在命令行日志中：

- name: 用环境变量传递curl凭据
  shell: |
    curl -u '{{ user }}:$CURL_PASS' <目标URL>
  environment:
    CURL_PASS: "{{ password }}"

此时Jenkins日志里只会显示curl -u 'user:$CURL_PASS'，真实密码会被环境变量隐藏，不会暴露。

如果想进一步通过Ansible层面控制日志模糊，可配合no_log和变量替换：

- name: 定义隐藏密码变量
  set_fact:
    masked_pass: "{{ password }}"
  no_log: true

- name: 执行curl命令
  shell: "curl -u '{{ user }}:{{ masked_pass }}' <目标URL>"
  register: curl_result
  no_log: false
  changed_when: false

no_log: true会让Ansible不记录该变量的赋值过程，日志中只会显示变量名而非真实密码。

方案二：隐藏curl命令，仅打印输出 #

通过register捕获命令输出，再单独打印结果，同时给原任务加no_log: true隐藏命令本身：

- name: 执行curl并捕获输出
  shell: "curl -u '{{ user }}:{{ password }}' <目标URL>"
  register: curl_output
  no_log: true

- name: 打印curl执行结果
  debug:
    msg: "{{ curl_output.stdout }}"

这样Jenkins日志里只会显示debug模块输出的请求结果，完全看不到包含凭据的curl命令。

更优推荐：使用Ansible原生uri模块 #

官方的uri模块原生支持凭据传递，且自动隐藏敏感信息，无需手动处理日志：

- name: 用uri模块替代curl
  uri:
    url: <目标URL>
    user: "{{ user }}"
    password: "{{ password }}"
    force_basic_auth: yes

该模块执行时不会在任何日志中暴露凭据，同时能正常返回请求的状态和结果，比调用shell更安全可靠。

内容的提问来源于stack exchange，提问作者Anish Hebbar