maven不仅可以对生成的jar进行签名，还可以对依赖项进行签名

Question

我设法创建主 jar，将依赖项复制到单个目录，剩下的唯一步骤是对所有 jar 进行签名。

我可以将自己生成的 jar 作为 jar:sign 的一部分进行签名，但是如何对依赖项进行签名？

谢谢

Answer 1

这里有几个选项：

1. 使用 Maven ant 任务从 JDK 针对所有依赖项运行 jarsigner。
2. 使用 webstart 插件，它可以对您的所有 JAR 进行签名，即使您不是不要将其用于 JNLP 化您的应用程序。 我正在使用它来实际 JNLPize 一个应用程序。
3. 看看 webstart 插件源正在做什么来迭代所有依赖项并对其进行签名，然后启动一个新的 Maven 插件/Mojo 来执行相同的操作，但无需 JNLP。
4. Onejar 您的应用及其依赖项，然后对其进行签名。

Answer 2

添加到插件配置target

Answer 3

如果您使用的是maven-jar-plugin，您可以使用“jarPath”设置指定要签名的单个 jar。 以下配置会导致对 jar-with-dependency 文件进行签名，而不是对无依赖项的 jar 文件进行签名：

<plugin>
    <artifactId>maven-jar-plugin</artifactId>
    <executions>
      <execution>
        <goals>
          <goal>sign</goal>
        </goals>
      </execution>
      <execution>
        <id>make-assembly</id>
        <phase>package</phase>
        <goals>
          <goal>sign</goal>
        </goals>
      </execution>
    </executions>
    <configuration>
      <!-- NOTE: The secret key is in shared version control.  The
           password is in shared version control.  This IS NOT
           SECURE.  It's intended to help avoid accidentally
           loading the wrong class, nothing more. -->
      <jarPath>${project.build.directory}/${project.build.FinalName}-${project.packaging}-with-dependencies.${project.packaging}</jarPath>
      <keystore>${basedir}/keystore</keystore>
      <alias>SharedSecret</alias>
      <storepass>FOO</storepass>
    </configuration>
  </plugin>

如果您想对两者进行签名，我不知道如何使用 进行签名maven-jar-plugin，因此您可能需要查看上面提到的其他选项。

Answer 4

还可以使用 maven-assemble-plugin 创建单个 JAR。

结合 Eric Anderson 的另一项建议（签署另一个 JAR），人们可以签署这个组装好的 JAR（而不是原始的 JAR）。 请注意，插件定义的顺序在这里很重要。

假设sign.keystore.file等在其他地方设置（例如在配置文件中）。

<build>
    <plugins>
        <!-- It seems that maven-assembly-plugin must be declared before the maven-jar-plugin,
             so that it is executed first in the package phase,
             and then the signing of the packaged jar can succeed. -->
        <plugin>
            <artifactId>maven-assembly-plugin</artifactId>
            <version>2.4</version>
            <configuration>
                <descriptorRefs>
                    <descriptorRef>jar-with-dependencies</descriptorRef>
                </descriptorRefs>
                <archive>
                    <manifestEntries>
                        <!-- ... -->
                    </manifestEntries>
                </archive>
            </configuration>
            <executions>
                <execution>
                    <id>make-assembly</id>
                    <phase>package</phase>
                    <goals>
                        <goal>single</goal>
                    </goals>
                </execution>
            </executions>
        </plugin>
        <plugin>
            <groupId>org.apache.maven.plugins</groupId>
            <artifactId>maven-jar-plugin</artifactId>
            <version>2.4</version>
            <executions>
                <execution>
                    <goals>
                        <goal>jar</goal>
                    </goals>
                </execution>
                <execution>
                    <id>make-assembly</id>
                    <phase>package</phase>
                    <goals>
                        <goal>sign</goal>
                    </goals>
                    <configuration>
                        <jarPath>${project.build.directory}/${project.build.FinalName}-${project.packaging}-with-dependencies.${project.packaging}</jarPath>
                        <keystore>${sign.keystore.file}</keystore>
                        <type>${sign.keystore.type}</type>
                        <storepass>${sign.keystore.storepass}</storepass>
                        <alias>${sign.keystore.alias}</alias>
                        <verify>true</verify>
                        <verbose>false</verbose>
                        <removeExistingSignatures>true</removeExistingSignatures>
                    </configuration>
                </execution>
            </executions>
            <configuration>
                <archive>
                    <manifest>
                        <!-- <addClasspath>true</addClasspath> -->
                    </manifest>
                    <manifestEntries>
                        <!-- ... -->
                    </manifestEntries>
                </archive>
            </configuration>
        </plugin>
    </plugins>
</build>