添加configurations.runtimeClasspath后Gradle可复现Zip哈希变化的原因与解决

核心原因 #

加入configurations.runtimeClasspath依赖后哈希值变化，主要源于两个关键问题：

1. 依赖文件顺序不稳定：虽然Zip任务设置了reproducibleFileOrder = true，但configurations.runtimeClasspath返回的文件集合默认没有固定排序规则，不同clean构建后，依赖JAR的读取顺序可能发生变化。Zip包哈希值对内容顺序敏感，顺序差异会直接导致哈希不一致。
2. 第三方JAR本身不可复现：部分依赖的JAR包并非通过可复现构建生成，其内部文件带有可变时间戳、随机排列顺序等元数据差异，即使JAR逻辑内容一致，这些细节也会让打包后的Zip哈希值改变。

修复方案 #

1. 固定依赖文件排序 #

在Zip任务中对runtimeClasspath的文件按文件名（或其他稳定字段）排序，确保每次打包的文件顺序一致：

task buildZip(type: Zip) {
    includeEmptyDirs = false
    preserveFileTimestamps = false
    reproducibleFileOrder = true

    from sourceSets.main.output
    
    into("lib") {
        // 按文件名排序依赖文件，保证顺序稳定
        from configurations.runtimeClasspath.files.sort { it.name }
    }
}

2. 启用Gradle可复现构建支持 #

Gradle 6.0及以上版本提供reproducibleBuilds插件，能自动处理第三方JAR的元数据（统一文件时间戳、规范文件顺序），从根源消除依赖JAR本身的不可复现性：
在settings.gradle中启用插件：

plugins {
    id 'org.gradle.reproducible-builds' version '0.15'
}

3. 修正校验任务依赖 #

确保createChecksums任务直接依赖buildZip而非泛化的build，避免其他任务干扰校验时机：

task createChecksums(type: Checksum, dependsOn: buildZip) {
    inputFiles.setFrom("${buildDir}/distributions");
    appendFileNameToChecksum.set(true)
}

内容的提问来源于stack exchange，提问作者atkayla