关键在于token不落地、不暴露、不残留：必须用approle认证，限定kv v2路径权限，仅通过插件原生步骤注入并掩码输出，禁用脚本直取，调用时避免环境变量泄露，且token需闭环轮换管理。
直接用 Jenkins Vault 插件调用生产发布 Token，关键不是“怎么连上 Vault”，而是确保 Token 从 Vault 拿出来之后，不落地、不暴露、不残留——尤其不能写进日志、不进环境变量明文、不进进程内存快照。
Vault 插件配置要锁定认证方式与路径权限
必须使用 AppRole 认证（而非静态 Token），因为 AppRole 支持绑定策略、自动过期、可撤销，且 Role ID/Secret ID 可分别安全分发（Role ID 可嵌入 Jenkins 配置，Secret ID 通过带权限的 CI 管理员手动注入或短期凭证服务分发）。在 Jenkins 系统配置中填入 Vault 地址后，务必确认：
• Vault 后端启用的是 secret/（KV v2）引擎，路径如 secret/data/prod/deploy-token；
• 对应的 Vault 策略仅授予 read 权限，且限定到该具体路径，禁止通配符（如 secret/data/prod/*）；
• Jenkins 插件配置页点击“Test Connection”成功后，再保存——失败时优先查 Vault server 日志里的 auth/approle/login 请求是否被拒绝。
流水线中只用 “Inject Secrets as Environment Variables” 步骤
在 Pipeline 或 Freestyle 任务中，禁用所有自定义脚本读取 Vault 的方式（比如 curl + token 手动调用）。唯一允许的方式是插件原生提供的构建步骤：
• 添加 “Set Vault Secrets as Environment Variables”；
• “Path to secret” 填 secret/data/prod/deploy-token（注意 v2 引擎必须带 /data/）；
• “Secrets to inject” 填字段名，如 token（对应 Vault 中的 {"token": "xxx..."}）；
• 勾选 “Mask password in console output”（该选项依赖 Jenkins 全局开启 maskpasswords，需提前在系统配置中确认已启用）；
• 不勾选 “Inject secrets into build environment as environment variables” 以外的任何额外选项（例如不启用 “Inject secrets into shell script” 这类非沙箱化注入）。
调用时绕过环境变量直传，避免 ps 或 /proc 泄露
即使插件注入了 DEPLOY_TOKEN 环境变量，也不应在 Shell 步骤中直接 echo $DEPLOY_TOKEN 或拼进 curl 命令字符串（如 curl -H "Authorization: Bearer $DEPLOY_TOKEN"），因为这类操作可能被 ps aux 或 /proc/<pid>/environ</pid> 捕获。正确做法是：
• 在 Pipeline 中用 withCredentials 包裹调用逻辑，但 Credential 类型必须为 stringCredentials，且该凭据 ID 实际指向 Vault 插件生成的临时凭据（需配合 Credentials Binding Plugin）；
• 或更稳妥地，在调用发布命令前，用 curl 的 --header 参数配合 stdin 输入：把 Token 写入临时文件（mktemp）、chmod 600、cat 进 curl 的 header 字段，最后立即 rm -f；
• 若调用的是 CLI 工具（如 az、kubectl、octopus-cli），优先使用其原生支持 Vault 的插件机制（如 az login --service-principal -u $APP_ID --password @/tmp/token），让工具自己读文件而非靠 shell 展开。
Token 生命周期与轮换必须闭环管理
Vault 中的生产发布 Token 不应设为永不过期：
• KV v2 启用 TTL（如 max_versions = 5 + cas_required = true），每次轮换都用新版本覆盖；
• Jenkins 流水线中加入前置检查：调用 Vault API GET /v1/sys/internal/ui/mounts/secret 确认引擎健康，再 GET /v1/secret/metadata/prod/deploy-token 获取最新版本号，若距上次使用超 7 天，强制触发轮换 Job；
• 轮换 Job 自身也必须通过 Vault 插件获取旧 Token（用于调用云平台 API 撤销旧凭证），再生成新 Token 写回 Vault —— 整个过程无本地存储、无硬编码、无人工干预。
