Jenkins无内置日志脱敏插件，无法对已输出的明文密码实时打码；必须从源头禁止密码入日志，辅以Log Parser视觉弱化、构建后脚本清理、权限管控与审计规范。
Jenkins 本身没有内置“日志脱敏插件”，也不支持对 console output 中已输出的明文密码做运行时秒级自动打码——这是关键前提。console output 是只读流，一旦 echo 或 sh 命令将密码打印到控制台（如 echo "password=$SECRET"），它就已固化在构建日志中，无法被插件实时拦截、覆盖或模糊化显示。
真正可行且生产环境推荐的做法，是从源头杜绝密码出现在日志里，再辅以日志解析层的视觉弱化（非真实脱敏）。以下是具体路径：
✅ 根本原则：禁止密码进日志
-
所有含敏感字段的命令必须禁用回显：
withCredentials([string(credentialsId: 'my-db-pass', variable: 'DB_PASS')]) { sh ''' # ❌ 错误：直接拼接会泄露 mysql -u admin -p$DB_PASS db_name < script.sql # ✅ 正确：用 stdin 或参数文件，避免出现在进程参数/日志中 echo "$DB_PASS" | mysql -u admin --password-file=/dev/stdin db_name < script.sql ''' } 禁止在
echo、printenv、set -x（调试模式）中暴露凭据变量；在 Pipeline 中启用
options { skipDefaultCheckout(true) }和显式控制日志输出，避免插件或脚本默认 dump 环境变量。
✅ 日志解析层“伪打码”：用 Log Parser 插件高亮并掩盖关键词
Log Parser 不修改原始日志，但可在 Web 页面上对匹配行做样式遮蔽（视觉隐藏），适合快速识别+弱化展示：
- 安装并启用 Log Parser Plugin
- 在 Manage Jenkins → Configure System → Console Output Parsing 中启用，并设置规则文件路径
- 在规则文件（如
/var/lib/jenkins/log-parsing-rules.txt）中添加掩码规则：# 匹配含 password= 或 pwd= 的行，标为 WARNING 并加粗（视觉干扰） warning /.*password\s*=\s*[^"\s]+.*/ "⚠️ 敏感凭证已被屏蔽" warning /.*pwd\s*=\s*[^"\s]+.*/ "⚠️ 敏感凭证已被屏蔽" warning /.*-p\s+\S+.*/ "⚠️ MySQL 密码参数已屏蔽"
⚠️ 注意：这只是前端高亮+提示，原始日志文本仍存在。若需真正不可见，必须配合权限管控（如限制日志访问角色）+ 日志归档前脱敏脚本。
✅ 生产级加固：构建后自动清理敏感痕迹
在 post { always { } } 中调用轻量脚本，扫描并替换 workspace 中的临时日志片段（适用于自定义日志生成场景）：
post {
always {
sh '''
# 查找并替换本地生成的日志文件中的密码（仅限你可控的日志路径）
sed -i 's/password=[^[:space:]]*/password=****/g' "$WORKSPACE/build.log" 2>/dev/null || true
sed -i 's/\"token\":\"[^\"]*\"/\"token\":\"***\"/g' "$WORKSPACE/debug.json" 2>/dev/null || true
'''
}
}✅ 长效机制：审计 + 权限 + 规范
- 开启 Jenkins 审计日志，记录谁在何时访问了哪些构建日志；
- 使用 Role-Based Authorization Strategy 插件，限制
Overall/Read和Job/Build权限，禁止非必要人员查看 console output； - 在团队规范中明确：所有
sh步骤必须通过withCredentials注入，严禁${PASSWORD}直接拼接；CI/CD 流水线代码纳入 MR 强制检查（如用 ShellCheck + 自定义正则扫描）。
真正安全的日志，不是靠“打码”补救，而是让敏感信息根本不出现在可记录的上下文中。
