咨询：如何避免Ansible Vault在调试模式下泄露明文密码？

这个问题确实很让人头疼——明明用Vault加密了敏感密码，但一开调试模式（-v/-vvv）就直接裸奔出来了。我整理了几个实用的解决办法，你可以根据自己的场景选：

1. 给敏感任务加上no_log: true #

大部分时候明文泄露都是因为你在debug任务里直接输出了加密变量，或者任务本身会打印包含敏感信息的内容。给对应的任务加上no_log: true，Ansible就会完全屏蔽这个任务的所有输出细节，哪怕是调试模式也不会泄露明文。

比如你原本的debug任务可能是这样的（会泄露密码）：

- debug:
    msg: "当前密码是: {{ vaulted_password }}"

改成这样就安全了：

- name: 处理敏感密码（避免调试泄露）
  debug:
    msg: "密码配置完成"
  vars:
    vaulted_password: "{{ your_vaulted_var }}"
  no_log: true

如果是模板任务（比如你的test.j2），同样可以加这个参数，防止渲染后的敏感内容被调试日志输出：

- name: 生成配置文件
  template:
    src: template/test.j2
    dest: /target/path/test.conf
  no_log: true

2. 全局配置屏蔽指定敏感变量 #

如果不想每个任务都加no_log，可以修改ansible.cfg，指定哪些变量属于敏感内容，Ansible会自动屏蔽它们的输出，不管在哪引用都会显示[filtered]。

打开你的ansible.cfg，在[defaults]段添加：

# 指定需要屏蔽的敏感变量列表，用逗号分隔
no_log_vars = vaulted_password,db_admin_pass,api_secret

这样哪怕你不小心在debug里打印这些变量，输出也会变成"当前密码是: [filtered]"，再也不会泄露明文。

3. 不要用调试模式验证Vault内容 #

如果你只是想确认加密的变量是否正确，完全没必要运行Playbook开调试。直接用ansible-vault view命令查看加密文件的内容就行：

ansible-vault view path/to/your/vault_file.yml

输入Vault密码后就能看到明文内容，全程不需要碰Playbook，自然不会有泄露风险。

4. 避免在debug中直接输出敏感变量 #

尽量不要用debug: var=vaulted_password这种方式打印敏感变量，哪怕加了no_log也不如直接避免。如果需要调试，只打印非敏感的状态信息，比如“变量已加载”“配置已更新”这类，不要涉及具体的密码内容。

内容的提问来源于stack exchange，提问作者V Mahaja