Jenkins Pipeline如何以指定系统用户thebuilder执行构建步骤

~解析异常的核心原因是shell展开顺序不符合预期：Jenkins的sh步骤默认以启动Jenkins进程的root用户拉起父shell，会先解析、展开整条命令中的~、普通变量等特殊字符，再把展开后的内容传给sudo执行。你写的sudo -u thebuilder -i ls ~实际执行时，~已经被root的父shell提前替换为/root，最终运行的命令等价于sudo -u thebuilder -i ls /root，自然触发权限拒绝。
你之前替换成绝对路径仍未生效，通常是两个附加问题导致的：一是原P4步骤里两次sudo -i启动了完全独立的两个用户会话，第一个会话里export的P4CONFIG变量根本无法传递到第二个会话；二是绝对路径写法下如果没有正确初始化thebuilder的用户环境，p4等依赖用户配置的命令也会运行异常。
另外明确说明：build user vars插件不适用你的场景，这个插件仅用来获取触发构建的Jenkins web端账号信息（比如你日志里的Doe, John），和系统层面切换运行用户的需求完全无关，不需要尝试。

方案1：修正sudo调用逻辑（最快验证，无需额外组件） #

核心思路是阻止父shell提前展开特殊字符，让路径、变量解析都发生在切换到thebuilder用户之后，两种可直接复用的写法：

1. 单引号包裹待执行命令，通过sudo -c把整条逻辑交给thebuilder的登录shell执行，避免提前展开：
   修正后的完整pipeline参考：

   pipeline {
       agent any
       stages {
           stage ('Account check') {
               steps {
                   sh "grep thebuilder /etc/passwd || useradd -m -d /opt/home/thebuilder thebuilder"
               }
           }
           stage ('Check dir') {
               steps {
                   // 单引号包裹内部命令，~不会被root shell提前展开
                   sh "sudo -u thebuilder -i -c 'ls ~'"
               }
           }
           stage ('P4 Login') {
               steps {
                   // 同一会话内执行所有逻辑，避免环境变量丢失
                   sh """sudo -u thebuilder -i -c '
                       export P4CONFIG=~/.p4settings-builds
                       /bin/p4 login < ~/.p4p
                   '"""
               }
           }
       }
   }
   

2. 如果觉得嵌套引号容易出错，可以先拉取thebuilder的家目录路径存为变量复用：

   stage('Run build steps') {
       steps {
           script {
               // 提前获取thebuilder的家目录路径，避免~展开问题
               BUILDER_HOME = sh(returnStdout: true, script: "sudo -u thebuilder -i -c 'echo \$HOME'").trim()
           }
           sh "sudo -u thebuilder ls ${BUILDER_HOME}"
           sh "sudo -u thebuilder P4CONFIG=${BUILDER_HOME}/.p4settings-builds /bin/p4 login < ${BUILDER_HOME}/.p4p"
           // 后续调用Ansible等构建逻辑都可以按这个写法拼接
       }
   }
   

注意：默认Docker环境下root用户无密码切换到其他本地用户的权限是默认开启的，不需要额外修改sudoers配置。

方案2：SSH本地Agent（生产环境推荐，完全对齐原有cron运行行为） #

如果后续要把Jenkins从root用户降权运行，或者要避免脚本里频繁写sudo，这个方案稳定性最高：

• 在Jenkins容器内启动sshd服务，为thebuilder配置本地免密登录
• 在Jenkins节点管理中新增一个SSH类型的永久Agent，连接地址填127.0.0.1，登录用户设为thebuilder，绑定固定标签如builder-node
• Pipeline直接指定使用该Agent运行，所有sh步骤默认就以thebuilder身份执行，完全不需要加sudo，和你之前直接用cron以thebuilder跑Ansible的环境、路径、权限完全一致，不会出现任何解析类问题：

  pipeline {
      agent { label 'builder-node' }
      stages {
          // 原有构建逻辑直接写，不需要加sudo切换用户
          stage('Check dir') {
              steps {
                  sh "ls ~"
              }
          }
          stage('P4 Login') {
              steps {
                  sh """
                      export P4CONFIG=~/.p4settings-builds
                      /bin/p4 login < ~/.p4p
                  """
              }
          }
      }
  }
  

你当前的docker启动命令仅挂载了/opt/home/thebuilder/p4目录，要确认thebuilder家目录下的.p4settings-builds、.p4p、Ansible playbook依赖的其他配置文件都已经正确挂载进容器，否则就算用户切换成功，也会因为找不到配置报错。你之前跑通的自由风格作业可以作为参照，对比其执行用户、工作目录、环境变量，快速和pipeline任务对齐配置。

内容的提问来源于stack exchange，提问作者New2Python