如何在Jenkinsfile中提取Hashicorp Vault返回的KV键值对

方案1：使用Pipeline Utility Steps插件的readJSON方法（推荐） #

• 前提：你的Jenkins已安装Pipeline Utility Steps插件，这是Jenkins流水线常用的工具插件，大多数环境默认预装。
• 实现逻辑：将返回的JSON字符串直接解析为Groovy对象，即可直接通过键名取值。

node {
    withCredentials([[$class: 'VaultTokenCredentialBinding', 
                      addrVariable: 'VAULT_ADDR', 
                      credentialsId: 'token', 
                      tokenVariable: 'VAULT_TOKEN', 
                      vaultAddr: 'http://ip:8200']]) {
        script{
            secret_key = sh (
                        script: 'vault kv get -format json -field=data kv/secret', 
                        returnStdout: true
                        ).trim() // 去掉返回结果首尾的换行、空白符，避免JSON解析失败
            // 解析JSON为对象
            def vaultSecrets = readJSON text: secret_key
            // 直接按键取值
            def username = vaultSecrets.username
            def password = vaultSecrets.password
            // 后续业务逻辑使用上述变量即可，注意不要打印敏感值到日志
        }
    }
}

方案2：无需额外插件，使用jq在shell层直接提取 #

如果你的Jenkins运行环境（即执行流水线的节点）已安装jq工具，也可以直接在sh步骤中完成取值，不需要额外安装Jenkins插件：

// 提取username
def username = sh(
    script: "echo '${secret_key}' | jq -r '.username'",
    returnStdout: true
).trim()

// 提取password
def password = sh(
    script: "echo '${secret_key}' | jq -r '.password'",
    returnStdout: true
).trim()

注意：所有密钥属于敏感信息，取值后不要通过echo、print等方式输出到流水线日志中，避免泄露。

内容的提问来源于stack exchange，提问作者user15746859