Jenkins变量无法跨阶段传递问题求助

问题根源 #

你当前的代码中，从Vault获取的变量仅在wrap代码块的作用域内有效，无法直接传递到后续阶段；同时顶层定义的变量未被赋值，导致后续阶段访问时为空。以下是三种可行的解决方式：

方式一：赋值给流水线全局变量 #

在wrap块内部，将Vault注入的环境变量赋值给你顶层定义的全局变量，这样所有阶段都能直接访问这些变量：

stage('Prepare Variables') {
    steps {
        script {
            dockerRegistryVaultAuth("some-vault.com", "dev") {
                def configuration = [$class           : 'VaultConfiguration',
                                     vaultUrl         : "some-vault.com",
                                     vaultCredentialId: env.VAULT_ROLE]
                def secrets = [
                        [
                                $class: 'VaultSecret', path: "${env.VAULT_PATH}/keys", secretValues:
                                [
                                        // 用临时环境变量名避免冲突
                                        [$class: 'VaultSecretValue', envVar: 'TEMP_CLIENT_SECRET', vaultKey: 'someKey'],
                                        [$class: 'VaultSecretValue', envVar: 'TEMP_CLIENTCODE', vaultKey: 'someOtherKey'],
                                        [$class: 'VaultSecretValue', envVar: 'TEMP_ARTIFACTORY_TOKEN', vaultKey: 'someToken']
                                ]
                        ]
                ]
                wrap([$class: 'VaultBuildWrapper', vaultSecrets: secrets, configuration: configuration]) {
                    // 将临时变量赋值给流水线全局变量
                    GITOPS_IMS_CLIENT_SECRET = env.TEMP_CLIENT_SECRET
                    GITOPS_IMS_CLIENTCODE = env.TEMP_CLIENTCODE
                    ARTIFACTORY_API_TOKEN = env.TEMP_ARTIFACTORY_TOKEN
                }
            }
        }
    }
}

后续阶段无需修改，直接使用你定义的全局变量即可。

方式二：存入Jenkins全局环境变量（env） #

将Vault获取的值存入env对象，env在整个流水线生命周期内全局有效，所有阶段都能通过env.变量名访问：

stage('Prepare Variables') {
    steps {
        script {
            dockerRegistryVaultAuth("some-vault.com", "dev") {
                def configuration = [$class           : 'VaultConfiguration',
                                     vaultUrl         : "some-vault.com",
                                     vaultCredentialId: env.VAULT_ROLE]
                def secrets = [
                        [
                                $class: 'VaultSecret', path: "${env.VAULT_PATH}/keys", secretValues:
                                [
                                        [$class: 'VaultSecretValue', envVar: 'TEMP_CLIENT_SECRET', vaultKey: 'someKey'],
                                        [$class: 'VaultSecretValue', envVar: 'TEMP_CLIENTCODE', vaultKey: 'someOtherKey'],
                                        [$class: 'VaultSecretValue', envVar: 'TEMP_ARTIFACTORY_TOKEN', vaultKey: 'someToken']
                                ]
                        ]
                ]
                wrap([$class: 'VaultBuildWrapper', vaultSecrets: secrets, configuration: configuration]) {
                    // 存入env全局环境变量
                    env.GITOPS_IMS_CLIENT_SECRET = env.TEMP_CLIENT_SECRET
                    env.GITOPS_IMS_CLIENTCODE = env.TEMP_CLIENTCODE
                    env.ARTIFACTORY_API_TOKEN = env.TEMP_ARTIFACTORY_TOKEN
                }
            }
        }
    }
}

后续阶段访问时需使用env.前缀，比如：

sh "docker run -it -e GITOPS_GITHUB_BRANCH=${GITOPS_GITHUB_BRANCH} \
-e GITOPS_IMS_CLIENT_SECRET=${env.GITOPS_IMS_CLIENT_SECRET} \
-e GITOPS_IMS_CLIENTCODE=${env.GITOPS_IMS_CLIENTCODE} \
... 其他变量 ..."

方式三：全局注入Vault变量（推荐） #

如果你的Jenkins Vault插件版本支持，直接在流水线的options块配置Vault，让变量在流水线启动时就全局注入，无需在单个stage中处理：

pipeline {
    agent any
    options {
        vault([
            configuration: [$class: 'VaultConfiguration', vaultUrl: "some-vault.com", vaultCredentialId: env.VAULT_ROLE],
            vaultSecrets: [
                [path: "${env.VAULT_PATH}/keys", secretValues: [
                    [$class: 'VaultSecretValue', envVar: 'GITOPS_IMS_CLIENT_SECRET', vaultKey: 'someKey'],
                    [$class: 'VaultSecretValue', envVar: 'GITOPS_IMS_CLIENTCODE', vaultKey: 'someOtherKey'],
                    [$class: 'VaultSecretValue', envVar: 'ARTIFACTORY_API_TOKEN', vaultKey: 'someToken']
                ]]
            ]
        ])
    }
    stages {
        stage('Build and push docker') {
            steps {
                echo "---------env.GITOPS_IMS_CLIENTCODE=$env.GITOPS_IMS_CLIENTCODE"
                sh "docker run -it -e GITOPS_GITHUB_BRANCH=${GITOPS_GITHUB_BRANCH} \
                -e GITOPS_IMS_CLIENT_SECRET=${env.GITOPS_IMS_CLIENT_SECRET} \
                ... 其他变量 ..."
            }
        }
    }
}

注意事项 #

• 禁止在日志中打印敏感变量（如echo $GITOPS_IMS_CLIENT_SECRET），避免机密泄露。
• 确保Jenkins Vault插件版本与配置方式兼容，旧版本可能不支持全局options注入。

内容的提问来源于stack exchange，提问作者Marcus Rost