如何解决Jenkins Pipeline控制台日志中密码/令牌暴露问题？

问题根源 #

当前的密码泄露来自两个核心问题：

1. Shell脚本启用了-x调试参数，会把执行的完整命令（包括密码参数）明文输出到日志；
2. 直接将敏感密码作为命令行参数传递，即使关闭调试模式，也可能通过进程列表或日志快照泄露。

修复方案 #

方案1：移除调试模式+用环境变量传递敏感信息

这是最稳妥的修复方式，彻底避免密码出现在命令行参数中：

1. 修改run_shell_script.sh，去掉-x并通过环境变量注入凭据：

#!/bin/bash -e
cd ${WORKSPACE}/my_repo
# 将凭据注入环境变量，供Python脚本读取
export SVC_ACCOUNT=${USERNAME}
export SVC_TOKEN=${PASSWORD}
python3 running_myScript.py

2. 修改Python脚本running_myScript.py，从环境变量读取敏感信息：

import os

# 从环境变量获取凭据
svc_account = os.environ.get("SVC_ACCOUNT")
svc_token = os.environ.get("SVC_TOKEN")

# 后续业务逻辑代码...

方案2：优化Jenkins Pipeline的凭据使用逻辑

不要手动将凭据赋值到全局env，直接用withCredentials包裹执行步骤，Jenkins会自动对敏感变量做日志掩码处理：

修改Jenkinsfile的阶段代码：

stage('Run shell script') {
    steps {
        script {
            catchError(stageResult: 'FAILURE') {
                // 直接在withCredentials块内执行操作，Jenkins自动掩码PASSWORD变量
                withCredentials([usernamePassword(credentialsId: credID, usernameVariable: 'USERNAME', passwordVariable: 'PASSWORD')]) {
                    commons.executeShellScriptFromFile('run_shell_script.sh')
                }
            }
        }
    }
}

此方案需要配合方案1的Shell脚本修改，确保密码不会出现在命令行参数中。

额外注意事项

• 永远不要在命令行参数中传递敏感信息，即使Jenkins做了掩码，也可能通过系统进程列表（如ps命令）泄露；
• 避免将凭据变量赋值到全局env，尽量在需要的局部作用域内使用；
• 如果必须保留-x调试模式，务必确保敏感信息不通过命令行传递，且Jenkins能自动识别并掩码相关变量。

内容的提问来源于stack exchange，提问作者Alphie