GitHub Actions构建中下载Maven制品的标准化方案及替代方式咨询

除了生成settings.xml的开源Action，还有以下几种利用GitHub Secrets实现私有Maven仓库访问的标准化方式，适配自托管Runner场景：

1. 通过Docker构建参数（--build-arg）传递凭证 #

Docker支持在构建阶段传入参数，你可以直接将GitHub Secrets作为构建参数注入，在Dockerfile中临时生成极简的settings.xml或直接传给Maven命令：

Dockerfile示例： #

# 定义构建参数
ARG MAVEN_REPO_ID
ARG MAVEN_REPO_USERNAME
ARG MAVEN_REPO_PASSWORD
ARG MAVEN_REPO_URL

# 临时生成包含私有仓库配置的settings.xml
RUN mkdir -p /root/.m2 && echo "
<settings>
  <mirrors>
    <mirror>
      <id>${MAVEN_REPO_ID}</id>
      <mirrorOf>central</mirrorOf>
      <url>${MAVEN_REPO_URL}</url>
    </mirror>
  </mirrors>
  <servers>
    <server>
      <id>${MAVEN_REPO_ID}</id>
      <username>${MAVEN_REPO_USERNAME}</username>
      <password>${MAVEN_REPO_PASSWORD}</password>
    </server>
  </servers>
</settings>" > /root/.m2/settings.xml

# 执行Maven构建
RUN mvn clean package -DskipTests

GitHub Actions步骤示例： #

- name: Build Docker image
  run: |
    docker build \
      --build-arg MAVEN_REPO_ID=private-repo \
      --build-arg MAVEN_REPO_USERNAME=${{ secrets.MAVEN_REPO_USER }} \
      --build-arg MAVEN_REPO_PASSWORD=${{ secrets.MAVEN_REPO_PASS }} \
      --build-arg MAVEN_REPO_URL=https://your-private-repo.com/maven \
      -t your-image:latest .

优点：无需依赖第三方Action，流程透明；缺点：构建参数会在Docker构建历史中留下痕迹（可通过--secret替代，见下文）。

2. 使用Docker BuildKit的秘密文件（--secret）传递凭证 #

Docker BuildKit支持安全传递敏感数据，避免构建参数泄露到历史记录中：

Dockerfile示例（需启用BuildKit）： #

# 启用BuildKit语法
# syntax=docker/dockerfile:1.4

RUN --mount=type=secret,id=maven_settings,dst=/root/.m2/settings.xml \
    mvn clean package -DskipTests

GitHub Actions步骤示例： #

- name: Build Docker image with BuildKit
  env:
    DOCKER_BUILDKIT: 1
  run: |
    # 从Secrets生成临时settings.xml内容
    cat > settings.xml << EOF
    <settings>
      <servers>
        <server>
          <id>private-repo</id>
          <username>${{ secrets.MAVEN_REPO_USER }}</username>
          <password>${{ secrets.MAVEN_REPO_PASS }}</password>
        </server>
      </servers>
      <mirrors>
        <mirror>
          <id>private-repo</id>
          <url>https://your-private-repo.com/maven</url>
          <mirrorOf>central</mirrorOf>
        </mirror>
      </mirrors>
    </settings>
    EOF
    # 传递秘密文件到构建过程
    docker build --secret id=maven_settings,src=settings.xml -t your-image:latest .
    # 清理临时文件
    rm settings.xml

优点：敏感数据不会出现在Docker构建历史中，安全性更高；缺点：需要启用BuildKit，语法稍复杂。

3. 利用自托管Runner的本地环境变量+Maven参数 #

Maven支持通过命令行参数直接覆盖仓库配置，你可以将GitHub Secrets注入到Runner的环境变量，然后在Docker构建时传递这些变量给Maven命令：

GitHub Actions步骤示例： #

- name: Build with Maven in Docker
  env:
    REPO_USER: ${{ secrets.MAVEN_REPO_USER }}
    REPO_PASS: ${{ secrets.MAVEN_REPO_PASS }}
  run: |
    docker run --rm \
      -v "$(pwd)":/app \
      -w /app \
      -e REPO_USER=$REPO_USER \
      -e REPO_PASS=$REPO_PASS \
      maven:3.8.6-openjdk-11 \
      mvn clean package -DskipTests \
        -Dmaven.repo.server.username=$REPO_USER \
        -Dmaven.repo.server.password=$REPO_PASS \
        -Dmaven.repo.url=https://your-private-repo.com/maven

配合pom.xml配置（可选）： #

在pom.xml中预先定义仓库，引用命令行参数：

<repositories>
  <repository>
    <id>private-repo</id>
    <url>${maven.repo.url}</url>
    <credentials>
      <username>${maven.repo.server.username}</username>
      <password>${maven.repo.server.password}</password>
    </credentials>
  </repository>
</repositories>

优点：无需修改Dockerfile，灵活度高；缺点：命令行参数较多，需确保pom.xml或Maven命令正确引用变量。

4. 预配置自托管Runner的Maven settings.xml（带环境变量占位符） #

如果自托管Runner是固定的，可以在Runner机器上预先创建settings.xml，其中用户名和密码使用环境变量占位符，然后在GitHub Actions中注入Secrets到环境变量：

Runner上的settings.xml示例： #

<settings>
  <servers>
    <server>
      <id>private-repo</id>
      <username>${env.MAVEN_REPO_USER}</username>
      <password>${env.MAVEN_REPO_PASS}</password>
    </server>
  </servers>
</settings>

GitHub Actions步骤示例： #

- name: Build Docker image with pre-configured settings
  env:
    MAVEN_REPO_USER: ${{ secrets.MAVEN_REPO_USER }}
    MAVEN_REPO_PASS: ${{ secrets.MAVEN_REPO_PASS }}
  run: |
    # 挂载Runner的.m2目录到容器，Maven会自动读取带变量的settings.xml
    docker run --rm \
      -v "$(pwd)":/app \
      -v "${HOME}/.m2":/root/.m2 \
      -w /app \
      -e MAVEN_REPO_USER=$MAVEN_REPO_USER \
      -e MAVEN_REPO_PASS=$MAVEN_REPO_PASS \
      maven:3.8.6-openjdk-11 \
      mvn clean package -DskipTests

优点：无需在构建过程中生成settings.xml，减少重复操作；缺点：依赖Runner的预配置，适合稳定的自托管环境。

内容的提问来源于stack exchange，提问作者Jeff