sh "docker login -p ${PASSWORD}" bringt deine Zugangsdaten in die Befehlszeile, und sh "echo ${env.CHANGE_TITLE}" erlaubt einem Pull Request, eigene Befehle auf deinen Agenten auszuführen. Dieser Skill findet diese und neun weitere Fehler in Jenkins-Pipelines vor dem Start und erklärt dir, wie du sie jeweils behebst.

Dein Agent führt einen Scanner für deine Jenkinsfiles (deklarativ und skriptbasiert, Jenkinsfile.*, *.jenkinsfile) und Groovy-Dateien gemeinsam genutzter Bibliotheken aus. Er überspringt Groovy-Kommentare, erkennt, welche Zeichenketten Groovy interpoliert (doppelte Anführungszeichen) und welche die Shell zur Laufzeit liest (einfache Anführungszeichen, \\$), welche Namen Zugangsdaten enthalten (withCredentials, credentials() mit den Formen USR und PSW, Passwortparameter) und welche Parameter Freitext oder feste Auswahlmöglichkeiten sind. Er verbindet sich niemals mit Jenkins und startet keinen Build. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• J01: Zugangsdaten, die mit einer Groovy-Zeichenkette in doppelten Anführungszeichen an sh, bat oder powershell übergeben werden

• J02: ein in der Pipeline hinterlegtes Passwort, Token oder ein Schlüssel

• J03: in Shell-Befehle interpolierte Pull-Request-Titel, Branches oder Autoren

REVIEW (vor dem Release prüfen)

• J11: evaluate(), GroovyShell oder "...".execute() auf dem Controller

• J12: Builds auf dem integrierten Knoten (Label master oder built-in)

• J13: curl -k, wget --no-check-certificate und andere deaktivierte TLS-Prüfungen

• J14: per Pipe an eine Shell weitergereichte Downloads

• J15: gemeinsam genutzte Bibliotheken, die ohne Version oder aus einem Branch geladen werden

• J16: Container mit --privileged oder eingebundenem Docker-Socket

• J17: input-Schritte ohne submitter

• J18: in Shell-Befehle interpolierte Freitext-Buildparameter

Das ist enthalten

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Eine unsichere und eine sichere Beispielpipeline sowie der tatsächliche Scannerbericht zur unsicheren Variante

Grenzen

Jede Datei wird so analysiert, wie sie vorliegt: In der Jenkins-Oberfläche eingerichtete Jobs, nur in den Job-Einstellungen definierte Parameter, Job DSL, Configuration as Code und Plugin-Versionen werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 9 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (3 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

So verwendest du es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne etwas zusätzlich zu installieren. Sie lesen lediglich deine Dateien: kein Netzwerkzugriff, und es werden keine Daten versendet.