如何在Jenkins控制台中掩码敏感变量避免Token泄露

问题原因 #

你当前的封装逻辑是将withCredentials块内的凭证值直接赋值为普通字符串变量返回，而Jenkins的凭证自动掩码能力仅作用于withCredentials的代码块作用域内，超出作用域后的普通字符串不会被识别为敏感值，因此在打印或拼接到命令行时会明文显示。

可行解决方案 #

方案1：重构封装为闭包传入模式（最推荐，原生支持无额外依赖） #

不要直接返回凭证值，改为在封装函数内接收业务逻辑闭包，让需要用到凭证的代码全程运行在withCredentials作用域内，Jenkins会自动完成掩码处理：

// 调整后的封装函数
def withCredentialsString(dsl, credentialsId, Closure logic) {
    dsl.withCredentials([string(credentialsId: credentialsId, variable: 'CredentialsString')]) {
        // 将凭证值传入闭包执行
        logic.call(env.CredentialsString)
    }
}

调用方式调整：

// 多个凭证可嵌套调用，也可以优化封装支持同时传入多个凭证ID
credentials.withCredentialsString(this, "my-jenkins-token") { project_token ->
    credentials.withCredentialsString(this, "my-jenkins-api-token") { api_token ->
        sh "mvn -Dsettings.security=${mavenSecuritySetting} -DprojectToken=${project_token} -DapiToken=${api_token} -Dcommit=${COMMIT_ID} -s ${mavenSetting}"
    }
}

方案2：手动注册敏感值掩码 #

如果你不希望改动原有调用逻辑，要保留直接返回凭证值的写法，可以手动调用addMask方法注册需要掩码的字符串，后续控制台输出匹配到该值时会自动替换为***：

// 调整后的封装函数
def getCredentialsString(dsl, credentialsId) {
    def r
    dsl.withCredentials([string(credentialsId: credentialsId, variable: 'CredentialsString')]) {
        r = env.CredentialsString
        // 注册该字符串为敏感值，后续自动掩码
        dsl.addMask(r)
    }
    return r
}

原有调用逻辑无需任何修改，后续使用project_token、api_token的场景都会自动完成掩码。

方案3：返回Secret类型对象 #

借助Jenkins内置的jenkins.util.Secret类型的自动掩码特性，将返回值封装为Secret对象：

import jenkins.util.Secret

// 调整后的封装函数
def getCredentialsString(dsl, credentialsId) {
    def r
    dsl.withCredentials([string(credentialsId: credentialsId, variable: 'CredentialsString')]) {
        r = Secret.fromString(env.CredentialsString)
    }
    return r
}

直接输出该对象或者拼接到命令行时会自动掩码，需要获取明文值时调用.getPlainText()方法即可。

内容的提问来源于stack exchange，提问作者T.R