Jenkins通过Credentials Binding插件安全注入外部凭据：①Secret Text用environment块+credentials()；②账号密码用withCredentials+usernamePassword；③SSH密钥用withCredentials+sshUserPrivateKey，变量作用域受限且自动脱敏。
Jenkins 在流水线中引用外部凭据，核心是通过 Credentials Binding 插件将凭据安全注入变量，避免明文硬编码。关键不在于“外部”这个词——Jenkins 本身不区分内外，而是指已预先在 Jenkins 凭据系统中创建好的、非流水线内生成的凭据（如 GitLab Token、Harbor 账号、K8s 认证密钥等）。
以下分场景说明常用方式：
直接引用 Secret Text 类型凭据（如 API Token）
适用于只有密码/令牌、无用户名的场景（例如 GitHub Personal Access Token、Jira API Key）：
pipeline {
agent any
environment {
// 将凭据 ID 映射为环境变量
GIT_TOKEN = credentials('github-api-token')
}
stages {
stage('Use Token') {
steps {
sh 'echo "Token length: ${#GIT_TOKEN}"' // 安全使用，不打印明文
// 实际调用时传入 header 或参数，例如：
// sh 'curl -H "Authorization: Bearer $GIT_TOKEN" https://api.github.com/user'
}
}
}
}⚠️ 注意：
credentials('id')只能用于environment块，且仅支持Secret text类型；不能用于用户名+密码组合。
使用 withCredentials 绑定用户名和密码
适用于 Harbor、GitLab、Nexus 等需账号密码登录的服务：
pipeline {
agent any
stages {
stage('Push to Harbor') {
steps {
withCredentials([
usernamePassword(
credentialsId: 'harbor-creds',
usernameVariable: 'HARBOR_USER',
passwordVariable: 'HARBOR_PASS'
)
]) {
sh '''
echo "Logging in to Harbor..."
docker login -u "$HARBOR_USER" -p "$HARBOR_PASS" harbor.example.com
docker push harbor.example.com/project/app:latest
'''
}
}
}
}
}-
credentialsId必须与 Jenkins 凭据管理页中创建的凭据 ID 完全一致（可在凭据详情页看到） -
usernameVariable和passwordVariable是你在脚本中引用的变量名，大小写敏感 - 所有敏感变量仅在
withCredentials代码块内有效，自动脱敏日志输出
引用 SSH 私钥凭据（用于 Git 拉取或远程执行）
stage('Deploy via SSH') {
steps {
withCredentials([sshUserPrivateKey(
credentialsId: 'prod-server-key',
keyFileVariable: 'SSH_KEY',
usernameVariable: 'SSH_USER'
)]) {
sh '''
chmod 600 "$SSH_KEY"
ssh -o StrictHostKeyChecking=no -i "$SSH_KEY" "$SSH_USER@10.0.1.100" \
"cd /opt/app && git pull origin main"
'''
}
}
}-
keyFileVariable提供的是临时文件路径（不是密钥内容本身），适合传给ssh、scp等命令 - Jenkins 自动确保该文件权限为
600，且在块结束时自动清理
验证凭据是否生效的小技巧
- 构建时查看控制台日志，确认
withCredentials是否成功绑定（正常会显示Masking passwords） - 临时加一句
sh 'env | grep -i harbor'查看变量是否注入（但注意：不要在生产流水线中打印密码变量值） - 若报错
No credentials matching，检查凭据 ID 拼写、作用域（是否在全局域）、以及 Jenkins 是否安装了 Credentials Binding 插件（通常默认自带）
不复杂但容易忽略
