如何在Jenkins控制台中用Groovy遮蔽敏感变量

方法1：使用Jenkins凭据管理+withCredentials步骤（推荐） #

这是Jenkins处理敏感信息的标准方式，能自动在控制台遮蔽敏感值：

1. 在Jenkins后台「凭据」页面，添加Secret text类型的凭据，填入SonarQube的token，设置凭据ID（比如sonar-token）
2. 在Groovy Pipeline脚本中通过withCredentials取出凭据变量，再传入sonar-scanner命令：

withCredentials([string(credentialsId: 'sonar-token', variable: 'SONAR_TOKEN')]) {
    sh "sonar-scanner -Dsonar.host.url=http://sonarurl:9000 -Dsonar.login=${SONAR_TOKEN}"
}

执行后，控制台中${SONAR_TOKEN}对应的实际token会被自动替换为******。

方法2：通过环境变量注入敏感值 #

将凭据绑定为Pipeline的环境变量，同样会触发自动遮蔽：

pipeline {
    agent any
    environment {
        SONAR_TOKEN = credentials('sonar-token')
    }
    stages {
        stage('Sonar Scan') {
            steps {
                sh "sonar-scanner -Dsonar.host.url=http://sonarurl:9000 -Dsonar.login=${SONAR_TOKEN}"
            }
        }
    }
}

方法3：通过Sonar配置文件间接传递token #

如果习惯用sonar-project.properties配置扫描参数，可先在文件中预留变量：

sonar.host.url=http://sonarurl:9000
sonar.login=${SONAR_TOKEN}

再在Pipeline中用凭据替换变量并执行扫描：

withCredentials([string(credentialsId: 'sonar-token', variable: 'SONAR_TOKEN')]) {
    // Linux/macOS环境替换配置文件变量
    sh 'sed -i "s/sonar.login=.*/sonar.login=${SONAR_TOKEN}/" sonar-project.properties'
    // 执行扫描
    sh 'sonar-scanner'
}

注意：Windows环境需将sed替换为PowerShell的字符串替换命令。

关键注意事项 #

• 绝对不要在脚本中硬编码token，硬编码的敏感信息存在泄露风险，且无法被Jenkins自动遮蔽
• 所有涉及敏感信息的操作，都应通过Jenkins的凭据系统管理，这是保障安全的核心原则

内容的提问来源于stack exchange，提问作者kernel