Jenkins调用PowerShell脚本执行Git clone认证失败问题排查

1. Jenkins凭据引用错误 #

你直接在psArgs里写了${app_pw_sentinel}，但这是Jenkins凭据的ID，不是通过withCredentials绑定的环境变量。正确操作：

• 先添加针对app_pw_sentinel的凭据绑定，把用户名和密码注入到环境变量：

// 外层先绑定文档仓库的Git凭据
withCredentials([usernamePassword(credentialsId: 'app_pw_sentinel', passwordVariable: 'DOC_GIT_PW', usernameVariable: 'DOC_GIT_USER')]) {
    // 再嵌套原有的AWS和其他凭据绑定
    withCredentials([usernamePassword(credentialsId: 'XXXX', passwordVariable: 'GIT_PASSWORD', usernameVariable: 'GIT_USERNAME')]) {
        withCredentials([[$class: 'AmazonWebServicesCredentialsBinding', accessKeyVariable: 'AWS_ACCESS_KEY', credentialsId: 'builduser', secretKeyVariable: 'AWS_SECRET_KEY']]) {
            withCredentials([[$class: 'AmazonWebServicesCredentialsBinding', accessKeyVariable: 'AWS_ACCESS_KEY_RELEASE', credentialsId: 'jenkins_release_prod', secretKeyVariable: 'AWS_SECRET_KEY_RELEASE']]) {
                def psScript = "${WORKSPACE}\\sentinel\\MSBuild\\Release-Sentinel.ps1";
                def psArgs = "-BucketName \"YYYY\" -AccessKey \"${AWS_ACCESS_KEY}\" -SecretKey \"${AWS_SECRET_KEY}\" -Region \"us-east-1\" -BranchName \"${BRANCH_NAME}\" -Version \"${versionTag}\" -DocumentationBranch \"${params.DocumentationBranch}\" -GitUsername \"${DOC_GIT_USER}\" -GitPassword \"${DOC_GIT_PW}\" -ReleaseBucketName \"ZZZZ\" -ReleaseAccessKey \"${AWS_ACCESS_KEY_RELEASE}\" -ReleaseSecretKey \"${AWS_SECRET_KEY_RELEASE}\" -ReleaseRegion \"us-east-1\"";
                bat "powershell -ExecutionPolicy Bypass -File ${psScript} ${psArgs}";
            }
        }
    }
}

• 同时把psArgs里硬编码的XXXX替换为绑定的${DOC_GIT_USER}，确保用户名也来自凭据，而非固定值。

2. Bitbucket认证策略变更 #

Bitbucket修改调用方式后，大概率禁用了URL明文传递密码的方式，可尝试以下方案：

• 改用SSH克隆：在Jenkins中配置SSH凭据（关联Bitbucket的SSH公钥），然后修改PowerShell脚本中的克隆地址：

git clone -n git@bitbucket.org:Lee/Lee-documentation.git

• 使用Git凭证助手：避免在URL中直接拼接密码，让Git自动从环境变量获取凭据：

# 在脚本中先配置临时凭证助手
git config --local credential.helper '!f() { echo "username=$GitUsername"; echo "password=$GitPassword"; }; f'
git clone -n "https://bitbucket.org/Lee/Lee-documentation.git"
# 克隆完成后清理配置
git config --local --unset credential.helper

• 检查App Password权限：确认app_pw_sentinel对应的Bitbucket App Password拥有仓库读取权限，且未被IP白名单、MFA等安全策略限制。

3. PowerShell变量转义问题 #

如果密码包含特殊字符（如@、&、%），直接拼接URL会导致解析错误，需先编码：

$encodedPw = [Uri]::EscapeDataString($GitPassword)
git clone -n "https://$GitUsername`:$encodedPw@bitbucket.org/Lee/Lee-documentation.git"

内容的提问来源于stack exchange，提问作者Lee