Jenkins脚本流水线password类型输入与凭据密码比对失败问题

当你使用password类型的输入参数时，Jenkins并不会返回普通字符串，而是返回一个hudson.util.Secret对象——这是Jenkins用来安全存储敏感信息的封装类。而string类型参数返回的是普通字符串，所以直接用==比对时，字符串之间的内容比对是正常的，但Secret对象和字符串用==比对时，实际是在比较对象引用而非内容，哪怕密码内容完全一致，断言也会失败。

有两种可靠的方式来正确比对这两个值：

方法1：将Secret对象转换为明文（需沙箱授权） #

你可以调用Secret对象的getPlainText()方法获取明文密码，再和凭据中的明文比对。但要注意：这种方法需要在Jenkins脚本沙箱中授权hudson.util.Secret.getPlainText()方法（脚本第一次运行时，Jenkins会提示你完成授权）。

修改断言部分的代码：

assert userInput.password.getPlainText() == cred_passphrase

方法2：将凭据明文转换为Secret对象比对（更安全） #

这种方法不需要额外的沙箱授权，而且避免了明文密码在代码中直接处理，安全性更高。我们可以把凭据中的明文passphrase转换为Secret对象，再用equals()方法和输入的Secret对象比对：

修改后的完整脚本：

node { 
    stage ("Collect User Input") { 
        userInput = input( 
            id: 'Input-username', 
            message: 'Select username', 
            ok: 'Continue', 
            parameters: [
                choice(choices: 'user1\nuser2\nuser3', description: '', name: 'username'), 
                password(defaultValue: '', description: 'Enter your private key passphrase ', name: 'password') 
            ], 
            submitterParameter: 'approver'
        ) 
        // 注意：不要打印password类型的参数，避免敏感信息泄露
        println("User selected username: " + userInput.username)
        withCredentials(bindings: [
            sshUserPrivateKey(
                credentialsId: 'my-test-key', 
                keyFileVariable: 'cred_keyfile', 
                passphraseVariable: 'cred_passphrase', 
                usernameVariable: 'cred_username' 
            )
        ]) { 
            // 用Secret对象的equals方法比对内容
            assert hudson.util.Secret.fromString(cred_passphrase).equals(userInput.password)
        } 
    } 
}

• 永远不要在流水线中打印password类型的输入参数，哪怕是Secret对象的toString()方法，也可能泄露敏感信息的部分内容。
• 优先使用方法2，因为它不需要修改沙箱权限，且更符合Jenkins的安全设计规范。

内容的提问来源于stack exchange，提问作者Frak