Jenkins流水线中Docker run传递本地环境变量至sonar-scanner失效问题求助

兄弟，我看你这问题是在Jenkins流水线里用Docker跑sonar-scanner时，环境变量传不进去对吧？我之前也碰到过类似的坑，给你拆解下问题根因和解决办法：

先说说你当前代码里的两个核心问题 #

1. os.getenv('SONAR_SCANNER')拿不到值
   这大概率是因为Jenkins的环境变量没正确传递到你的Python脚本上下文里。比如如果是在Jenkinsfile的sh步骤里执行这段Python代码，默认情况下Jenkins的环境变量不会自动暴露给子进程的Python环境，得手动把变量导出来才行。

2. -Dsonar.login=$SONAR_SCANNER不生效
   你现在写的-e SONAR_SCANNER其实只告诉Docker要传这个变量名，但没指定要传宿主机的哪个值；而且就算你传对了，直接在Python字符串里写$SONAR_SCANNER会被当成普通字符串传到容器里，容器里的shell根本不会去解析它——因为Python的f-string不会处理这个$符号，得让容器的shell来处理才行。

具体的解决步骤，按这个来绝对能搞定 #

第一步：先确保Python能拿到Jenkins的环境变量

如果你的Python脚本是在Jenkinsfile里通过sh执行的，要先把SONAR_SCANNER变量导出给执行环境，比如Jenkinsfile里这么写：

sh """
  # 把Jenkins的环境变量导出给当前shell进程，这样Python就能拿到
  export SONAR_SCANNER=${env.SONAR_SCANNER}
  python your_scanner_script.py
"""

要是你用的是Jenkins的凭据管理存的Sonar令牌，那更稳妥的是用withCredentials注入变量，避免明文暴露：

withCredentials([string(credentialsId: '你的Sonar令牌凭据ID', variable: 'SONAR_SCANNER')]) {
    sh """
      export SONAR_SCANNER=${SONAR_SCANNER}
      python your_scanner_script.py
    """
}

第二步：优化Docker命令的变量传递方式

这里给你两种靠谱的写法，选哪种都行：

写法一：让容器用传递进去的环境变量（推荐，更安全）

先在Python里拿到变量，然后把它传给Docker容器，再让sonar-scanner用容器内的环境变量：

import os
# 先做个判断，防止变量为空报错
sonar_token = os.getenv('SONAR_SCANNER')
if not sonar_token:
    raise RuntimeError("没拿到SONAR_SCANNER环境变量啊！检查下Jenkins的配置")

run_image_command = \
        f"docker run --rm -e SONAR_TOKEN={sonar_token} {image_name} sonar-scanner \
          -Dsonar.projectKey={domain}-{usecase} \
          -Dsonar.sources={path} \
          -Dsonar.host.url={url} \
          -Dsonar.branch.name={branch} \
          -Dsonar.login=\$SONAR_TOKEN"  # 这里加\转义$，让容器的shell解析这个变量
run_cmd(run_image_command)

这里把变量名改成SONAR_TOKEN是为了避免混淆，你也可以继续用SONAR_SCANNER，只要前后一致就行。

写法二：直接把拿到的令牌拼进命令里（简单但要注意安全）

如果确认令牌不会被日志输出（Jenkins要开启日志脱敏），也可以直接把拿到的令牌硬编码进sonar-scanner的参数里：

import os
sonar_token = os.getenv('SONAR_SCANNER')
if not sonar_token:
    raise RuntimeError("SONAR_SCANNER环境变量未设置！")

run_image_command = \
        f"docker run --rm {image_name} sonar-scanner \
          -Dsonar.projectKey={domain}-{usecase} \
          -Dsonar.sources={path} \
          -Dsonar.host.url={url} \
          -Dsonar.branch.name={branch} \
          -Dsonar.login={sonar_token}"
run_cmd(run_image_command)

额外提醒：Jenkins日志脱敏

不管用哪种写法，都要记得在Jenkins里给SONAR_SCANNER变量开启日志脱敏，这样就算命令里不小心输出了令牌，Jenkins也会自动把它换成****，避免泄露。

备注：内容来源于stack exchange，提问作者Valeri Vladimirov