jenkins自动化发布必须全程贯彻安全原则：安装阶段需jdk 11+、非root运行、端口限制与初始密码删除；权限管理应对接ldap、关闭匿名访问、启用角色权限策略并强密码管控；流水线须禁用脚本控制台、凭证统一存储、日志脱敏及本地配置清理；构建产物需唯一版本号、人工确认部署、高危命令限制，并启用审计插件。
Jenkins自动化发布不能只管“跑起来”，安全必须贯穿从安装、配置到流水线执行的每个环节。一次疏忽——比如明文写死API密钥、开放匿名访问、或脚本控制台未关闭——就可能让整个CI/CD链路沦为攻击跳板。
基础环境加固：安装即设防
安装不是终点，而是安全起点：
- 使用JDK 11+（Jenkins 2.357起强制要求），避免旧版Java已知漏洞；
- 禁止以root运行Jenkins服务，修改/usr/lib/systemd/system/jenkins.service中JENKINS_USER为普通用户（如jenkins）；
- 默认端口8080需在防火墙中限制访问来源，生产环境建议前置Nginx反向代理并启用HTTPS；
- 首次初始化后立即删除/var/lib/jenkins/secrets/initialAdminPassword，防止密码复用或泄露。
权限与认证：最小权限原则落地
登录不是目的，可控才是关键：
- 禁用“Jenkins专有用户数据库”用于中大型团队，优先对接LDAP或Active Directory，实现统一身份生命周期管理；
- 关闭“允许匿名用户读取”和“传统模式”授权策略，这两项等于向互联网敞开大门；
- 启用Matrix-based security或安装Role-based Authorization Strategy插件，按角色（如dev、qa、ops）分配权限，例如：开发人员不可查看凭证、不可重放构建、不可进入脚本控制台；
- 为Jenkins系统账户单独创建强密码策略（长度≥12、含大小写字母+数字+符号），并定期轮换。
流水线中的敏感信息防护
构建脚本是高危区，密钥绝不能裸奔：
- 禁用System Groovy Script和Script Console（路径：Manage Jenkins > Script Console），除非确需调试且仅限管理员IP白名单访问；
- 所有凭证（Git Token、Docker Registry密码、云平台AKSK）必须通过Jenkins Credentials Plugin存储，调用时用withCredentials块注入，严禁硬编码或日志输出；
- 在Jenkinsfile中避免sh 'echo $SECRET'类操作，开启Mask Passwords插件并配置正则规则（如.*[pP]assword.*|.*[tT]oken.*）自动屏蔽日志；
- 构建节点若复用宿主机，确保/root/.m2/settings.xml等本地配置不包含明文凭证，改用settings.xml.groovy动态生成。
构建产物与部署过程审计
发布动作必须可追溯、可拦截、可回滚：
- 每次构建生成唯一版本号（如${BUILD_ID}-${GIT_COMMIT:7}），Artifact命名带环境标识（app-prod-1.2.0-20260614.jar）；
- 部署前强制加入人工确认阶段（input message: 'Deploy to PROD?'），生产环境禁用自动部署；
- 部署脚本（如deploy.sh）禁止直接rm -rf /或kill -9 $(ps aux | grep java)等高危命令，应限定进程名、PID文件或端口匹配；
- 启用Build Timestamp和Job Config History插件，记录每次配置变更与构建参数，满足合规审计要求。
