Jenkins中执行bat命令时如何避免敏感变量被插值？

首先明确Windows批处理和Linux Shell的语法差异：Windows bat 不识别单引号作为字符串边界，单引号会被视为普通字符传递给命令，因此无法直接套用sh步骤的单引号方案。你写bat 'mvn $MAVENARGS package -Ddlc=$DLC'会报错的原因是，bat会把单引号当成命令的一部分，尝试执行名称为'mvn的程序，自然找不到对应执行文件。

要避免Jenkins Groovy层面预插值泄露敏感变量，可使用以下两种方案：

方案1：双引号内转义$符号 #

Groovy语法中，\$会被解析为普通的$字符，不会触发预插值。转义后的$传递给bat脚本后，bat会自动读取对应环境变量的值，不会在Jenkins日志中泄露敏感内容。

• 错误写法（Groovy提前插值，敏感变量明文出现在编译后的命令中）：
  bat "mvn ${MAVENARGS} package -Ddlc=${DLC}"
• 正确写法：
  bat "mvn \$MAVENARGS package -Ddlc=\$DLC"

方案2：三单引号包裹脚本内容（适配多行脚本） #

如果是多行bat脚本，直接使用Groovy的三单引号'''包裹全部脚本内容即可，三单引号范围内的内容不会触发Groovy插值，不需要额外转义$符号：

bat '''
echo 开始执行Maven打包
mvn $MAVENARGS package -Ddlc=$DLC
echo 打包执行完成
'''

校验逻辑 #

可以通过测试命令确认是否成功避免预插值：执行bat "echo \$EXAMPLE_CREDS_USR"，如果输出对应凭证的用户名，说明变量是bat层面读取的环境变量，Jenkins没有提前替换为明文，符合安全要求。

内容的提问来源于stack exchange，提问作者Lieven Cardoen