Jenkins Docker Pipeline未正确传递退出码问题求助

问题背景 #

在Jenkins Docker阶段必须以root:root权限运行（无法规避），但这导致Docker文件系统归root所有，Jenkins无法自动清理。为此在全局Groovy库中实现了伪装命令，通过创建普通用户dummy并切换到该用户执行命令，但目前docker_mask.command()无法稳定传递E2E测试或Terraform部署失败的退出码，导致流水线无法正确感知任务失败。

原实现代码：

def container_init (myUserId) {
    sh( returnStdout: true, script: """usr/sbin/useradd -u ${myUserId} dummy;""").trim()
}
def command (input) {
    sh( returnStdout: true, script: """su dummy -c '${input}';""").trim()
}

核心原因 #

1. 命令转义问题：直接用单引号包裹${input}，如果输入命令包含单引号、管道符、分号等特殊字符，会破坏shell语法结构，导致命令执行异常，退出码无法正确传递。
2. 退出码捕获缺失：sh(returnStdout: true)默认仅捕获标准输出，不会主动抛出命令执行失败的异常，即使su执行的命令返回非0退出码，Jenkins流水线仍会认为步骤成功。
3. 复杂命令链的退出码覆盖：当执行多阶段命令或带管道的命令时，su -c的退出码可能被后续命令覆盖，无法准确反映目标命令的执行状态。

解决方案 #

方案1：安全转义命令并强制校验退出码 #

修改command函数，使用printf %q安全转义特殊字符，同时捕获命令退出码并在失败时触发流水线终止：

def container_init(int myUserId) {
    // 避免重复创建用户，防止报错
    sh(
        script: """
            if ! id -u ${myUserId} >/dev/null 2>&1; then
                /usr/sbin/useradd -u ${myUserId} dummy
            fi
        """,
        returnStdout: true
    ).trim()
}

def command(String input) {
    // 安全转义输入命令，处理所有shell特殊字符
    def escapedCmd = sh(returnStdout: true, script: "printf %q '${input}'").trim()
    
    // 执行命令，同时捕获退出码和输出内容
    def execResult = sh(
        returnStdout: true,
        returnStatus: true,
        script: "su dummy -c ${escapedCmd}"
    )
    
    // 非0退出码时主动抛出错误，终止流水线
    if (execResult.status != 0) {
        error "Command failed (exit code ${execResult.status}): ${input}\nOutput: ${execResult.stdout}"
    }
    
    return execResult.stdout.trim()
}

方案2：用set -e确保命令失败即退出 #

通过set -e让shell脚本在任何命令失败时立即退出，结合安全转义保证退出码准确传递：

def container_init(int myUserId) {
    sh(
        script: """
            id -u ${myUserId} >/dev/null 2>&1 || /usr/sbin/useradd -u ${myUserId} dummy
        """,
        returnStdout: true
    ).trim()
}

def command(String input) {
    sh(
        script: """
            set -e
            su dummy -c "$(printf %q "${input}")"
        """,
        returnStdout: true,
        failFast: true
    ).trim()
}

关键改进点 #

• 避免重复创建用户：添加用户存在性检查，防止重复执行useradd导致的报错。
• 安全转义机制：printf %q自动转义所有shell特殊字符，确保命令被正确解析执行。
• 退出码强校验：通过returnStatus捕获退出码，非0时主动抛出错误，让Jenkins流水线正确感知任务失败。
• 失败快速终止：set -e和failFast确保命令链中任何失败都会立即终止流程，避免错误被后续操作掩盖。

内容的提问来源于stack exchange，提问作者jacobnollette