如何在Jenkins Pipeline中通过GIT_ASKPASS向检出仓库推送代码？

你的临时方案虽然能跑起来，但确实不够规范——而且直接把密码拼在Git URL里有不小的安全风险（不小心打印日志就会泄露凭证）。其实Jenkins完全支持用和拉取代码一致的凭证机制来推送，不用手动拼接URL，下面给你两种更专业的实现方式：

方法1：复用Git凭证助手（推荐） #

这种方式和Jenkins拉取代码时的GIT_ASKPASS逻辑同源，通过配置Git的临时凭证助手安全传递认证信息，密码不会暴露在命令行或日志中：

stage('Push Updated Code') {
    steps {
        withCredentials([usernamePassword(
            credentialsId: "github",
            usernameVariable: "GIT_USER",
            passwordVariable: "GIT_PASS"
        )]) {
            sh '''
                # 配置临时Git凭证助手，push时自动注入凭证
                git config credential.helper '!f() { echo "username=$GIT_USER"; echo "password=$GIT_PASS"; }; f'
                # 执行推送（替换成你需要的分支/标签即可）
                git push origin master
            '''
        }
    }
}

为什么这更规范？ #

• 凭证全程不会出现在任何命令输出里，彻底避免日志泄露风险
• 和Jenkins原生拉取代码的机制对齐，符合Pipeline的最佳实践
• 不需要手动拼接复杂URL，代码可读性和维护性更高

方法2：直接复用checkout的凭证上下文 #

如果你已经在Pipeline开头用checkout scm（Jenkins Pipeline的标准拉取方式）获取了代码，那Jenkins已经自动帮你配置好了GIT_ASKPASS环境变量和对应的凭证助手。这种情况下，你甚至不需要额外的withCredentials块，直接执行推送即可：

// 先通过标准方式拉取代码
stage('Checkout Code') {
    steps {
        checkout scm
    }
}

stage('Push Changes') {
    steps {
        // 直接推送，Jenkins会自动复用拉取时的凭证（前提是该凭证有推送权限）
        sh 'git push origin master'
    }
}

注意事项 #

• 确保你的Jenkins凭证（这里是github）拥有目标仓库的推送权限
• 如果推送非默认分支，记得修改git push的分支参数
• 绝对不要打印包含凭证的命令或变量，始终保持凭证的保密性

内容的提问来源于stack exchange，提问作者Tom Friedhof