如何不暴露凭据实现Jenkins拉取Bitbucket代码运行Cypress测试

以下方案均不需要把敏感凭据提交到Bitbucket仓库，适配Jenkins流水线/自由风格任务场景：

• 方案1：Jenkins凭据绑定直接注入目标文件（最简便，无需修改测试代码）
  1. 登录Jenkins控制台，进入对应任务的凭据配置页，新增类型为Secret File的凭据，上传你本地的fixtures/cred.json原文件，给凭据设置唯一标识ID（例如api-test-cred）
  2. 编辑任务的构建配置，在构建环境选项中勾选「Use secret text(s) or file(s)」，新增文件类型绑定，选择刚才上传的凭据，将目标文件路径填写为测试用例默认读取的相对路径fixtures/cred.json
  3. 配置完成后，Jenkins拉取代码后会自动在工作区对应位置写入凭据文件，测试执行完成后会自动销毁该临时文件，全程不会将凭据同步到代码仓库，也不会在构建节点长期留存。
• 方案2：环境变量注入+运行时动态生成凭据文件（适配流水线场景，权限管控更细）
  1. 将cred.json中的敏感字段（如client_id、client_secret、token等）分别以Secret Text类型存入Jenkins凭据，每个字段对应独立的凭据项
  2. 在构建执行的第一步加入前置脚本，测试启动前动态生成fixtures/cred.json文件，脚本中直接引用Jenkins注入的敏感环境变量即可，示例Shell脚本如下：

  # 测试执行前动态生成凭据文件
  cat > fixtures/cred.json << EOF
  {
    "client_id": "$API_CLIENT_ID",
    "client_secret": "$API_CLIENT_SECRET",
    "scope": "api.read_write"
  }
  EOF
  
  # 测试执行命令（替换为你实际的测试启动命令）
  pytest test_api/
  
  # 测试结束删除临时凭据文件
  rm -f fixtures/cred.json
  

  该方案下Jenkins会自动对日志中出现的敏感值做掩码处理，所有敏感字段不会以明文形式出现在构建日志中。

注意事项：不要在测试代码或构建脚本中增加打印凭据文件明文内容的逻辑，避免敏感信息从日志渠道泄露；不要将凭据硬编码在Jenkinsfile或构建脚本中提交到仓库，所有敏感值必须通过Jenkins凭据模块统一管理。

内容的提问来源于stack exchange，提问作者Ananya Kumar Shetty