如何解决Jenkins流水线中带凭证shell命令的字符串插值问题

该报错核心是混淆了Groovy层字符串插值和Shell层变量解析的规则：

• withCredentials注入的Token是Shell执行环境的变量，不属于Groovy代码上下文的变量
• 当前用Groovy三双引号包裹脚本时，Groovy会优先尝试解析${Token}做插值，找不到对应变量就会抛出插值错误
• 原代码的--data-raw ${payload}未加引号，payload存在特殊字符时也会触发Shell语法错误

方案1：区分不同层面的插值逻辑 #

如果payload是Groovy代码中提前定义的变量，需要Groovy完成插值，仅需将Shell层面解析的Token变量的$符号转义，同时给--data-raw参数加引号即可：

withCredentials([string(credentialsId: '<SECRETNAME>', variable: 'Token')]) { 
  sh """curl --location --request POST 'https://abc.example.com/api/endpoint' \
  --header 'Authorization: Bearer \${Token}' \
  --header 'Content-Type: application/json' \
  --data-raw '${payload}'"""
}

如果payload包含单引号，建议使用方案2避免语法冲突。

方案2：全Shell层插值（更安全，推荐） #

把Groovy的payload也注入到Shell环境变量中，所有变量都交给Shell解析，完全避免Groovy插值冲突，同时不会泄露密钥到Jenkins日志：

withCredentials([string(credentialsId: '<SECRETNAME>', variable: 'Token')]) { 
  sh """
  # 注入Groovy侧的payload到Shell环境变量
  export PAYLOAD='${payload}'
  curl --location --request POST 'https://abc.example.com/api/endpoint' \
  --header "Authorization: Bearer \${Token}" \
  --header "Content-Type: application/json" \
  --data-raw "\${PAYLOAD}"
  """
}

• 不要在Groovy层面直接插值withCredentials注入的密钥变量，否则Jenkins的自动掩码功能会失效，密钥可能明文出现在构建日志中
• 所有需要Shell解析的变量，$符号要么转义（双引号包裹脚本时），要么用三单引号包裹脚本避免Groovy提前解析

内容的提问来源于stack exchange，提问作者Avik Aggarwal