无需GPG密钥环使用Gradle签名插件，解决构建文件无法共享问题

我之前也碰到过一模一样的问题——按照Sonatype的Gradle指南配置构件上传到Maven中央仓库时，签名插件依赖本地GPG密钥环的要求，直接导致构建脚本没法在其他开发者机器或者CI环境里直接复用。这里有两种靠谱的方案，能帮你彻底摆脱密钥环的依赖：

方案1：通过环境变量传递密钥信息（推荐用于CI/CD和多环境场景） #

直接在构建脚本里配置签名插件读取环境变量中的密钥内容和密码，完全不需要本地密钥环：

plugins {
    id 'signing'
    id 'maven-publish' // 配合发布插件使用
}

// 保留Sonatype指南里的发布配置
publishing {
    publications {
        mavenJava(MavenPublication) {
            from components.java
            
            // 按需配置符合Sonatype要求的pom信息
            pom {
                // ... 你的pom配置，比如开发者信息、许可证等 ...
            }
        }
    }
    
    repositories {
        maven {
            url = uri("https://s01.oss.sonatype.org/service/local/staging/deploy/maven2/")
            credentials {
                username = System.getenv("SONATYPE_USERNAME")
                password = System.getenv("SONATYPE_PASSWORD")
            }
        }
    }
}

// 核心签名配置：使用内存中的密钥，不依赖本地密钥环
signing {
    def signingKey = System.getenv("GPG_PRIVATE_KEY")
    def signingPassword = System.getenv("GPG_PASSWORD")
    
    // 只有环境变量存在时才启用签名，避免本地开发报错
    if (signingKey && signingPassword) {
        useInMemoryPgpKeys(signingKey, signingPassword)
        sign publishing.publications.mavenJava
    }
}

使用时，只需要在运行Gradle命令前设置好环境变量：

# 填入你的ASCII格式私钥内容（带BEGIN/END头的那种）
export GPG_PRIVATE_KEY="-----BEGIN PGP PRIVATE KEY BLOCK-----
... 完整的私钥内容 ...
-----END PGP PRIVATE KEY BLOCK-----"
# 密钥的保护密码
export GPG_PASSWORD="your-gpg-key-password"
# Sonatype的账号密码
export SONATYPE_USERNAME="your-sonatype-username"
export SONATYPE_PASSWORD="your-sonatype-password"

# 执行发布
./gradlew publish

方案2：使用本地Gradle属性文件（适合个人本地开发） #

如果是自己本地开发用，可以把密钥信息放在本地Gradle属性文件里（绝对不要提交到版本控制），让构建脚本自动读取这些属性：

首先在~/.gradle/gradle.properties（Windows用户路径是C:\Users\你的用户名\.gradle\gradle.properties）中添加：

signingKey=-----BEGIN PGP PRIVATE KEY BLOCK-----
... 完整的私钥内容 ...
-----END PGP PRIVATE KEY BLOCK-----
signingPassword=your-gpg-key-password
sonatypeUsername=your-sonatype-username
sonatypePassword=your-sonatype-password

然后修改构建脚本中的签名和发布配置：

plugins {
    id 'signing'
    id 'maven-publish'
}

publishing {
    publications {
        mavenJava(MavenPublication) {
            from components.java
            pom {
                // ... 你的pom配置 ...
            }
        }
    }
    
    repositories {
        maven {
            url = uri("https://s01.oss.sonatype.org/service/local/staging/deploy/maven2/")
            credentials {
                username = project.findProperty("sonatypeUsername")
                password = project.findProperty("sonatypePassword")
            }
        }
    }
}

signing {
    def signingKey = project.findProperty("signingKey")
    def signingPassword = project.findProperty("signingPassword")
    
    if (signingKey && signingPassword) {
        useInMemoryPgpKeys(signingKey, signingPassword)
        sign publishing.publications.mavenJava
    }
}

这样本地运行./gradlew publish时，Gradle会自动读取这些属性，不需要每次手动设置环境变量。

关键注意事项 #

• 私钥和密码是敏感信息，绝对不能提交到Git等版本控制系统，不管是环境变量还是本地属性文件，都要确保只在本地或CI环境中单独配置。
• 私钥需要是ASCII armored格式，你可以用gpg --export-secret-keys --armor your-key-id命令导出这种格式的私钥。
• 这两种方案都完全兼容Sonatype的上传流程，生成的签名文件符合Maven中央仓库的要求，不会影响构件的发布和同步。

内容的提问来源于stack exchange，提问作者mernst