如何使用Maven Resolver的Trusted Checksums保障构件完整性并解决现存问题？

一、解决版本兼容问题 #

• 强制团队统一使用指定Maven版本：
  • 在项目根目录添加.mavenrc（Linux/macOS）或mavenrc_pre.bat（Windows）文件，写入对应系统的版本指定命令（如Linux下export MAVEN_VERSION=3.9.8），要求所有开发者通过该文件配置环境；
  • 生成Maven Wrapper：执行mvn wrapper:wrapper -Dmaven=3.9.8生成项目专属的Maven执行脚本，团队成员通过./mvnw（Windows用mvnw.cmd）执行构建，自动使用指定版本，从根源上避免版本不兼容问题。
• 增加版本校验拦截：在项目父POM中加入maven-enforcer-plugin，配置规则检查Maven版本必须≥3.9.0（Trusted Checksums功能的最低兼容版本），不满足则直接终止构建，示例配置：

<plugin>
  <groupId>org.apache.maven.plugins</groupId>
  <artifactId>maven-enforcer-plugin</artifactId>
  <version>3.4.1</version>
  <executions>
    <execution>
      <id>enforce-maven-version</id>
      <goals>
        <goal>enforce</goal>
      </goals>
      <configuration>
        <rules>
          <requireMavenVersion>
            <version>[3.9.0,)</version>
            <message>必须使用Maven 3.9.0及以上版本以启用Trusted Checksums功能</message>
          </requireMavenVersion>
        </rules>
      </configuration>
    </execution>
  </executions>
</plugin>

二、简化参数配置，实现项目级管控 #

• 统一配置到settings.xml：将Trusted Checksums所需参数写入团队共享的settings.xml，分发给所有开发者，示例配置：

<profiles>
  <profile>
    <id>trusted-checksums</id>
    <properties>
      <aether.trustedChecksumsSource.summaryFile.basedir>${user.home}/.m2/trusted-checksums</aether.trustedChecksumsSource.summaryFile.basedir>
      <aether.artifactResolver.postProcessor.trustedChecksums.enabled>true</aether.artifactResolver.postProcessor.trustedChecksums.enabled>
      <!-- 按需添加其他参数 -->
    </properties>
  </profile>
</profiles>
<activeProfiles>
  <activeProfile>trusted-checksums</activeProfile>
</activeProfiles>

• 项目级配置免全局修改：在项目根目录创建.mvn/settings.xml，写入上述配置，配合Maven Wrapper使用，确保项目构建时自动加载该配置，无需开发者手动修改全局settings.xml。

三、解决校验文件共享与路径解析问题 #

• 配置项目根目录下的共享路径：在配置文件中把aether.trustedChecksumsSource.summaryFile.basedir设置为${project.basedir}/.trusted-checksums，在项目根目录创建该文件夹，将校验文件放入其中后直接纳入Git版本控制，实现团队共享；
• 固化路径参数：在项目的.mvn/maven.config文件中添加以下参数，确保执行构建时自动加载路径配置，该文件也可纳入Git共享：

-Daether.trustedChecksumsSource.summaryFile.basedir=${project.basedir}/.trusted-checksums
-Daether.artifactResolver.postProcessor.trustedChecksums.enabled=true

内容的提问来源于stack exchange，提问作者Marcono1234