如何用Secret text凭证克隆Git仓库，无需创建虚拟用户名凭证？

方案一：临时配置Git凭证助手 #

通过临时设置Git的凭证助手，克隆时自动提供占位符用户名和token作为密码，避开直接拼接带凭证的URL，同时消除安全警告：

pipeline {
  agent any
  stages {
    stage("Clone") {
      steps {
        withCredentials([string(credentialsId: 'git-token', variable: 'GIT_TOKEN')]) {
          sh '''
            # 临时配置凭证助手，克隆时自动返回用户名和token
            git config --global credential.helper '!f() { echo "username=_"; echo "password=$GIT_TOKEN"; }; f'
            # 克隆仓库到当前目录
            git clone https://gitea.example.org/org/repo.git .
            # 克隆完成后清除临时配置，避免影响后续操作
            git config --global --unset credential.helper
          '''
        }
      }
    }
  }
}

Git会在需要认证时自动调用临时配置的助手获取凭证，完全避开URL拼接凭证的风险，安全性更高。

方案二：通过HTTP请求头传递Token #

如果你的Git托管平台（如Gitea、GitHub）支持Bearer Token认证，可直接在Git请求中添加Authorization头，无需拼接凭证到URL：

pipeline {
  agent any
  stages {
    stage("Clone") {
      steps {
        withCredentials([string(credentialsId: 'git-token', variable: 'GIT_TOKEN')]) {
          git url: 'https://gitea.example.org/org/repo.git',
              # 可选：添加浅克隆选项加快速度
              extensions: [[$class: 'CloneOption', depth: 1]],
              # 通过请求头传递Token
              extraHeader: "Authorization: token ${GIT_TOKEN}"
        }
      }
    }
  }
}

这种方式符合现代Git托管平台的认证规范，不会在URL中暴露任何凭证信息，彻底规避安全警告。

方案三：安全构建环境变量 #

如果偏好URL拼接的方式，可改用withEnv安全构建包含凭证的仓库地址，避免Groovy字符串插值带来的安全风险：

pipeline {
  agent any
  environment {
    TOKEN = credentials('git-token')
  }
  stages {
    stage("Clone") {
      steps {
        # 用withEnv的列表形式安全构建变量，Jenkins会自动处理Secret的隐藏
        withEnv(["REPO=https://_:${TOKEN}@gitea.example.org/org/repo"]) {
          git env.REPO
        }
      }
    }
  }
}

该方案解决了原代码中Groovy插值引发的安全警告，同时保留URL拼接的逻辑，适合习惯此类操作的场景。

内容的提问来源于stack exchange，提问作者Rijenkii