如何消除Jenkins scripted pipeline sh密码插值警告且保留timestamp输出

解决方案 #

你可以通过withEnv将Groovy侧定义的普通变量注入为Shell环境变量，全程使用Shell层面的变量替换，避免Groovy插值凭证变量触发警告，同时保证自定义变量正常传值。

核心修改点 #

• 拿到timestamp后调用trim()清除可能的多余换行符，避免后续使用异常
• 用withEnv将Groovy的timestamp变量注入为Shell环境变量
• sh块统一使用三单引号，所有变量通过Shell读取环境变量的方式调用，不经过Groovy插值

修改后代码 #

// FROM https://jenkins.io/doc/pipeline/examples/#parallel-multiple-nodes
def labels = []
if (Host == 'true') {
    labels.add('<host-slavename>')
}
def builders = [:]
for (x in labels) {
    def label = x
    builders[label] = {
        ansiColor('xterm') {
            node(label) {
                stage('cleanup') {
                    deleteDir()
                }
                stage('build') {
                    def timestamp = sh (script: 'echo -n `(date +%Y%m%d%H%M%S)`', returnStdout: true).trim()
                    withCredentials([string(credentialsId: 'TEST_PASSWORD', variable: 'PASSWORD')]){
                        // 注入Groovy变量为Shell环境变量
                        withEnv(["BUILD_TIMESTAMP=${timestamp}"]) {
                            sh '''
                                logger \
                                TEST_1 "$PASSWORD" TEST_2 \
                                TEST_3 $BUILD_TIMESTAMP TEST_4
                            '''
                        }
                    }
                }
            }
        }
    }
}
parallel builders

原理解释 #

• withCredentials注入的PASSWORD变量本身已经是Pipeline运行时的环境变量，Shell可以直接读取，不需要经过Groovy插值
• withEnv注入的BUILD_TIMESTAMP是把Groovy侧的普通变量转为Shell环境变量，插值的是普通非敏感变量，不会触发Jenkins安全警告
• 三单引号包裹的sh脚本不会触发Groovy字符串插值，所有变量替换都在Shell层面完成，完全规避了敏感凭证在Groovy层面被明文替换的风险，不会触发安全告警

内容的提问来源于stack exchange，提问作者Someone2