Maven发布时父POM未签名问题排查求助

1. 核对插件生命周期绑定与构件类型配置 #

• 检查父pom里maven-gpg-plugin的<executions>节点，确认是否绑定到deploy或verify阶段，示例配置：

  <execution>
    <id>sign-artifacts</id>
    <phase>deploy</phase>
    <goals>
      <goal>sign</goal>
    </goals>
  </execution>
  

• 父POM是pom打包类型，需显式配置<includes>让插件处理pom文件，避免默认只处理jar类构件：

  <configuration>
    <includes>
      <include>**/*.pom</include>
      <include>**/*.jar</include>
      <include>**/*-sources.jar</include>
    </includes>
  </configuration>
  

2. 开启DEBUG日志追踪执行流程 #

• 执行mvn clean deploy -X，搜索gpg相关日志：
  • 查看父POM模块执行时，是否触发了gpg插件的sign目标
  • 留意是否有Skipping artifact signing类日志，确认插件是否主动跳过签名
• 对比旧版本成功发布的日志（若有留存），排查当前日志中gpg插件的执行阶段、触发条件差异

3. 检查模块配置的继承与覆盖 #

• 查看build-tools模块的pom.xml，确认是否覆盖了父POM的gpg插件配置，比如是否设置了<skip>true</skip>或修改了执行阶段
• 确认父POM的插件配置位置：若在<pluginManagement>中，子模块需要显式引用插件才会生效；若直接在<plugins>下，子模块默认继承

4. 验证GPG插件版本与环境配置 #

• 执行mvn gpg:version查看插件版本，尝试切换不同版本（比如从1.6换成2.2.1），部分旧版本对pom类型构件的处理逻辑存在缺陷
• 检查Maven settings.xml，确认是否全局配置了gpg.skip=true，或是GPG路径配置错误导致插件静默失败

5. 排查命令执行上下文参数 #

• 确认执行mvn deploy时是否传递了-Dgpg.skip=true这类参数，或是系统环境变量中设置了GPG_SKIP
• 检查项目根目录下的.mvn/maven.config文件，里面可能包含影响插件执行的全局参数

6. 单独测试插件执行逻辑 #

• 进入父模块目录执行mvn gpg:sign，看能否生成pom.asc文件，判断是插件本身问题还是生命周期绑定问题
• 对build-tools模块执行同样的单独签名操作，排查该模块是否有特殊配置导致插件不生效

内容的提问来源于stack exchange，提问作者David Georg Reichelt