Groovy编写的Jenkins Pipeline如何隐藏curl命令的用户名和密码

完全理解你的顾虑——把用户名密码明文暴露在Jenkins任务输出里确实不安全，好在Jenkins提供了好几套成熟的方案来解决这个问题，我按推荐度给你整理一下：

1. 用Jenkins凭证管理+withCredentials块（最推荐，简单安全） #

这是Jenkins官方推荐的敏感信息处理方式，步骤很简单：

• 先在Jenkins后台「凭证管理」里添加一个用户名密码类型的凭证，给它设个好记的ID（比如artifactory-creds）
• 然后在你的Pipeline里用withCredentials块包裹curl命令，它会自动把凭证变量标记为敏感，Jenkins输出时会把密码替换成****

示例代码：

pipeline {
    agent any
    stages {
        stage('上传制品到Artifactory') {
            steps {
                withCredentials([usernamePassword(
                    credentialsId: 'artifactory-creds', 
                    usernameVariable: 'ARTIFACTORY_USER', 
                    passwordVariable: 'ARTIFACTORY_PASS'
                )]) {
                    sh '''
                        curl -u "${ARTIFACTORY_USER}:${ARTIFACTORY_PASS}" \
                            -T path/to/your/artifact.zip \
                            "https://your-artifactory-domain/repo/target/path/artifact.zip"
                    '''
                }
            }
        }
    }
}

这样不管是日志输出还是控制台打印，都看不到真实的密码，完全安全。

2. 使用Artifactory Jenkins插件（专业场景首选） #

如果你经常和Artifactory交互，安装官方的Artifactory插件会更省心——它不仅帮你隐藏凭证，还提供了更简洁的上传/下载API，不用自己写curl：

• 先在Jenkins里配置Artifactory服务器（绑定之前创建的凭证）
• 然后用插件提供的upload方法完成上传

示例代码：

@Library('artifactory') _

pipeline {
    agent any
    stages {
        stage('上传到Artifactory') {
            steps {
                script {
                    // 这里的ID是你在Jenkins里配置的Artifactory服务器ID
                    def artifactoryServer = Artifactory.server('your-artifactory-server-id')
                    // 定义上传规则，支持批量上传
                    def uploadSpec = """{
                        "files": [
                            {
                                "pattern": "path/to/your/artifact.zip",
                                "target": "your-repo/path/artifact.zip"
                            }
                        ]
                    }"""
                    artifactoryServer.upload(uploadSpec)
                }
            }
        }
    }
}

这种方式完全不用在代码里碰凭证，所有敏感信息都由Jenkins和插件安全管理，日志里也不会有任何敏感内容。

3. 手动标记敏感变量（应急方案，不推荐长期用） #

如果因为某些原因你不想用前两种方法，也可以手动把密码变量标记为敏感，Jenkins同样会在输出中屏蔽它：

pipeline {
    agent any
    environment {
        // 从Jenkins凭证库获取密码，自动标记为敏感
        ARTIFACTORY_PASS = credentials('artifactory-password-cred-id')
        ARTIFACTORY_USER = 'your-artifactory-username'
    }
    stages {
        stage('上传制品') {
            steps {
                sh 'curl -u "${ARTIFACTORY_USER}:${ARTIFACTORY_PASS}" -T artifact.zip https://your-artifactory-url/repo/path'
            }
        }
    }
}

不过这种方式不如第一种灵活，还是优先推荐前两种方案。

内容的提问来源于stack exchange，提问作者Chanafot