Jenkins运行Terraform Plan时控制台泄露凭证如何修复？

问题根因 #

Jenkins 的withCredentials步骤仅会对其代码块内直接绑定的变量（本案例中的GITHUB_TOKEN）做自动输出掩码。你将凭证值取出赋值给自定义变量、再传递到 shell 中导出时，Jenkins 未将该值标记为敏感内容，加之上层 shell 开启了命令打印（默认set -x配置），就会出现明文暴露的问题。

修复方案 #

你可以任选以下一种方式处理：

• 方案1：将凭证值注册为Jenkins全局敏感掩码内容
  修改getgithubtokenfortf自定义函数，把返回的token值注册到Jenkins的掩码规则中，所有控制台输出中出现该值的位置都会自动被替换为****：

def call() {
  def gitHubToken
  withCredentials([string(credentialsId: 'xxxx', variable: 'GITHUB_TOKEN')]) {
      gitHubToken = GITHUB_TOKEN
  }
  // 新增掩码注册逻辑
  jenkins.util.MaskPasswordsPlugin.maskPassword(gitHubToken)
  return [gitHubToken: gitHubToken]
}

• 方案2：关闭敏感行的shell命令打印
  修改导出token的shell代码段，临时关闭命令调试打印，赋值完成后再恢复，避免导出行被打印：

if [ "${env.repo_name}" = "repo5" ]; then
   set +x
   export TF_VAR_github_token=${getgithubtokenfortf()["gitHubToken"]}
   set -x
fi

• 方案3：直接在Pipeline中声明敏感环境变量（更推荐）
  不需要在shell中手动export变量，直接在Pipeline层面将TF_VAR变量标记为敏感，Jenkins会自动处理掩码：

pipeline {
  environment {
    // 当repo匹配时直接赋值，credentials绑定的变量默认自动掩码
    TF_VAR_github_token = "${env.repo_name == 'repo5' ? credentials('xxxx') : ''}"
  }
  stages {
    stage('Terraform Plan') {
      steps {
        // 直接执行terraform命令即可自动读取该环境变量
        sh 'terraform plan'
      }
    }
  }
}

该方案无需调用自定义的getgithubtokenfortf函数，利用Jenkins内置的凭证绑定能力，安全性更高。

内容的提问来源于stack exchange，提问作者devgirl