如何在Jenkins中审计getPassword()调用并获取调用方作业详情？

针对你遇到的Jenkins凭证审计问题，这里提供几个可行的实现方向：

1. 从当前执行上下文直接提取作业信息 #

Jenkins在流水线或作业执行时，会将当前运行的Run对象绑定到执行线程中，你可以在重写的getPassword()方法里直接获取这个上下文：

@Override
public Secret getPassword() {
    // 获取当前正在执行的作业实例
    Run<?, ?> currentRun = Run.current();
    if (currentRun != null) {
        String fullJobName = currentRun.getParent().getFullName();
        String runNumber = String.valueOf(currentRun.getNumber());
        // 写入审计日志，包含作业全名和运行编号
        logAuditEvent("Password retrieved by job: " + fullJobName + " (Run #" + runNumber + ")");
    } else {
        // 处理非作业上下文的调用（如系统后台任务、API调用）
        logAuditEvent("Password retrieved outside job execution context");
    }
    return super.getPassword();
}

注意：如果调用getPassword()的代码是在异步线程中执行（部分插件会这么做），Run.current()可能返回null。这种情况下需要结合ThreadLocal传递上下文。

2. 拦截凭证批量获取流程，注入作业标签 #

针对像http_request这类批量拉取所有凭证的场景，可以通过扩展CredentialsProvider来拦截凭证查询操作，将当前作业信息存入ThreadLocal，后续在getPassword()中读取：

步骤1：创建ThreadLocal存储作业上下文 #

private static final ThreadLocal<Run<?, ?>> CURRENT_JOB_RUN = new ThreadLocal<>();

步骤2：扩展CredentialsProvider拦截查询 #

public class AuditingCredentialsProvider extends CredentialsProvider {
    @Override
    public <C extends Credentials> List<C> lookupCredentials(Class<C> type, Item item, Authentication auth) {
        // 当从作业上下文查询凭证时，记录当前Run
        if (item instanceof Job<?, ?> job) {
            Run<?, ?> currentRun = job.getLastBuild();
            // 更准确的方式是获取当前正在执行的Run，可结合ExecutorService的上下文
            CURRENT_JOB_RUN.set(currentRun);
        }
        try {
            // 调用原查询逻辑
            return super.lookupCredentials(type, item, auth);
        } finally {
            // 清理ThreadLocal，避免内存泄漏
            CURRENT_JOB_RUN.remove();
        }
    }
}

步骤3：在getPassword()中读取ThreadLocal #

@Override
public Secret getPassword() {
    Run<?, ?> jobRun = CURRENT_JOB_RUN.get();
    if (jobRun != null) {
        String jobName = jobRun.getParent().getFullName();
        logAuditEvent("Password accessed by batch lookup from job: " + jobName);
    }
    return super.getPassword();
}

3. 自定义凭证子类，嵌入作业关联信息 #

如果上述方法无法覆盖所有场景，可以创建自定义凭证类继承BaseStandardCredentials，在凭证被作业获取时，动态注入作业信息：

public class AuditableStandardCredentials extends BaseStandardCredentials {
    private transient String associatedJobName;

    public AuditableStandardCredentials(String scope, String id, String description, String associatedJobName) {
        super(scope, id, description);
        this.associatedJobName = associatedJobName;
    }

    @Override
    public Secret getPassword() {
        if (associatedJobName != null) {
            logAuditEvent("Password retrieved by associated job: " + associatedJobName);
        }
        return super.getPassword();
    }

    // 设置关联作业的方法，在凭证被作业获取时调用
    public void setAssociatedJobName(String jobName) {
        this.associatedJobName = jobName;
    }
}

这种方式需要修改凭证的创建和获取逻辑，确保作业获取凭证时调用setAssociatedJobName()注入信息，适合你能控制凭证流转的场景。

关于给对象打标签到栈追踪的可行性 #

直接给对象打标签让其出现在栈追踪里并不现实，栈追踪仅记录方法调用的类和方法名。但你可以通过自定义异常的方式间接实现：在getPassword()中抛出一个包含作业信息的自定义异常，然后立即捕获，此时异常的栈轨迹可以附加你需要的标签信息，不过这种方式会带来额外的性能开销，仅适合调试或非高频场景：

@Override
public Secret getPassword() {
    Run<?, ?> currentRun = Run.current();
    if (currentRun != null) {
        try {
            throw new JobAuditException("Password accessed by job: " + currentRun.getParent().getFullName());
        } catch (JobAuditException e) {
            // 从异常栈中提取信息并记录
            logAuditEvent(e.getMessage(), e.getStackTrace());
        }
    }
    return super.getPassword();
}

// 自定义异常类
static class JobAuditException extends Exception {
    public JobAuditException(String message) {
        super(message);
    }
}

内容的提问来源于stack exchange，提问作者MikeyCarter