Ansible Playbook任务失败时，如何屏蔽日志凭证并保留调试信息？

针对你遇到的问题——用no_log会完全隐藏命令、正则替换方案效果不佳，这里提供几个更实用的优化方法：

方法1：精准屏蔽敏感变量而非整个任务 #

Ansible的no_log支持指定需要屏蔽的变量列表，而非对整个任务开启no_log: true。这样既能保留命令的结构信息，又能自动替换敏感变量为<sensitive>，避免泄露：

- name: 执行目标脚本
  command: "{{ abc }} {{ def }}/ghi/jkl.js {{ user }} {{ password }} {{ mno }} {{ pqr }}"
  ignore_errors: true
  no_log:
    - user
    - password
  register: output
  become: yes
  become_user: root

- debug:
    msg: "标准输出: {{ output.stdout }}"
  when: output.stdout != ""

- debug:
    msg: "错误输出: {{ output.stderr }}"
  when: output.stderr != ""

日志中命令部分会显示为：{{ abc }} {{ def }}/ghi/jkl.js <sensitive> <sensitive> {{ mno }} {{ pqr }}，既能看清命令结构，又不会泄露凭证。

方法2：优化正则替换（处理特殊字符） #

如果必须保留原始输出的大部分内容，仅替换凭证，需要先对凭证中的正则特殊字符（如.、*、+、?等）进行转义，避免替换失效：

- name: 转义敏感变量的正则特殊字符
  set_fact:
    escaped_user: "{{ user | regex_escape }}"
    escaped_pass: "{{ password | regex_escape }}"

- name: 执行目标脚本
  command: "{{ abc }} {{ def }}/ghi/jkl.js {{ user }} {{ password }} {{ mno }} {{ pqr }}"
  ignore_errors: true
  no_log: true
  register: output
  become: yes
  become_user: root

- debug:
    msg: "{{ output.stderr | regex_replace(escaped_user, '*****') | regex_replace(escaped_pass, '*****') }}"
  when: output.stderr != ""

- debug:
    msg: "{{ output.stdout | regex_replace(escaped_user, '*****') | regex_replace(escaped_pass, '*****') }}"
  when: output.stdout != ""

转义后，即使凭证包含特殊字符也能被正确替换，解决之前方案中替换失效的问题。

方法3：使用argv参数形式传递命令 #

用command模块的argv列表形式传递命令参数，结合no_log屏蔽敏感项，日志会更清晰地展示参数结构，同时自动隐藏敏感内容：

- name: 以argv形式执行脚本
  command:
    argv:
      - "{{ abc }}"
      - "{{ def }}/ghi/jkl.js"
      - "{{ user }}"
      - "{{ password }}"
      - "{{ mno }}"
      - "{{ pqr }}"
  ignore_errors: true
  no_log:
    - user
    - password
  register: output
  become: yes
  become_user: root

- debug:
    var: output.stdout_lines
  when: output.stdout != ""

- debug:
    var: output.stderr_lines
  when: output.stderr != ""

日志中会显示参数列表结构：['/path/to/abc', '/def/ghi/jkl.js', '<sensitive>', '<sensitive>', 'mno_value', 'pqr_value']，方便定位参数位置问题，同时保护敏感信息。

内容的提问来源于stack exchange，提问作者Mostafa Ramzy