如何在Maven的settings.xml中配置含特殊字符的密钥库密码？

• 部署方式：通过Maven jarsigner插件完成JAR签名，配合Ant将包迁移至目标服务器，未使用流水线工具
• 配置逻辑：为避免密码泄露，在settings.xml的profile中配置密钥库密码属性，在pom.xml中通过${keystorePassword}引用该属性
• 核心问题：密码包含&字符，执行mvn package时，系统将&后的内容识别为独立命令，触发报错：

  [WARNING] 'therestofthepasssword' is not recognized as an internal or external command,
  [WARNING] operable program or batch file.
  

• 已知可行但非目标方案：通过-DkeystorePassword="passwordwith&therestofthepassword"参数传递密码可正常运行，但希望通过settings.xml配置；直接在pom.xml的storepass标签中设置密码也会触发相同问题

方案1：CDATA包裹+引号传递 #

在settings.xml中用CDATA块包裹含特殊字符的密码，避免XML解析时的转义问题；同时在pom.xml的jarsigner配置中给storepass添加双引号，防止shell解析&为命令分隔符：

settings.xml 配置 #

<profile>
    <id>keystorePassword</id>
    <properties>
        <keystorePassword><![CDATA[passwordwith&therestofthepassword]]></keystorePassword>
    </properties>
    <activation>
        <activeByDefault>true</activeByDefault>
    </activation>
</profile>

pom.xml 插件配置调整 #

<plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-jarsigner-plugin</artifactId>
    <version>3.1.0</version>
    <!-- 其他执行配置不变 -->
    <configuration>
        <!-- 其他配置项不变 -->
        <storepass>"${keystorePassword}"</storepass>
        <!-- 其他配置项不变 -->
    </configuration>
</plugin>

方案2：Maven加密敏感属性（推荐） #

使用Maven自带的加密功能，既解决特殊字符问题，又进一步提升密码安全性：

1. 生成主密码并配置
   执行命令生成加密后的主密码：

   mvn --encrypt-master-password yourCustomMasterPassword
   

   将生成的加密字符串添加到settings.xml的<settingsSecurity>节点：

   <settingsSecurity>
       <master>加密后的主密码字符串</master>
   </settingsSecurity>
   

2. 加密密钥库密码
   执行命令加密目标密码（Windows环境需用引号包裹密码）：

   # Linux/macOS
   mvn --encrypt-password passwordwith&therestofthepassword
   # Windows CMD
   mvn --encrypt-password "passwordwith&therestofthepassword"
   

3. 配置加密后的密码到profile
   将加密后的密码字符串放入settings.xml的profile属性中：

   <profile>
       <id>keystorePassword</id>
       <properties>
           <keystorePassword>{加密后的密钥库密码字符串}</keystorePassword>
       </properties>
       <activation>
           <activeByDefault>true</activeByDefault>
       </activation>
   </profile>
   

Maven会自动解密该属性，且传递给jarsigner时不会触发shell的特殊字符解析。

内容的提问来源于stack exchange，提问作者pguzman