Gradle Witness插件与java-library插件兼容问题求助

我之前也踩过这个坑——Gradle Witness插件确实是为旧的java插件设计的，对java-library引入的api/implementation等新依赖配置支持不佳，才会出现找不到依赖完整性断言的错误。结合你对安全性的高要求（精确校验和而非仅PGP），这里有几个靠谱的解决方案：

方案一：改用Gradle官方原生的依赖验证功能（推荐） #

Gradle从5.0开始就内置了Dependency Verification功能，完全替代Witness的校验能力，而且完美适配java-library插件，维护性和兼容性都强得多。步骤如下：

1. 在settings.gradle中启用验证特性：

   enableFeaturePreview('DEPENDENCY_VERIFICATION')
   

2. 运行命令生成所有依赖的校验和元数据文件：

   ./gradlew --write-verification-metadata sha256
   

   执行后，Gradle会自动在gradle/verification-metadata.xml文件中写入所有直接/间接依赖的SHA-256哈希值。
3. 后续构建时，Gradle会自动校验每个依赖的哈希值，一旦不匹配就直接终止构建，完全满足你对精确校验的安全要求。
   • 小贴士：如果项目中有动态版本（比如4.1.+）或快照依赖，建议先通过dependencyLocking锁定精确版本，再生成校验和文件，避免后续构建出现哈希不匹配的问题。

方案二：修复Gradle Witness的兼容性（如果坚持使用Witness） #

如果不想切换到原生验证，可以手动让Witness识别java-library的新依赖配置：
在build.gradle中修改Witness的配置，指定需要校验的所有依赖配置：

witness {
    // 这里配置你需要校验的依赖及其哈希值
    verify = [
        'io.netty:netty-all:4.1.94.Final': 'sha256:你的哈希值'
        // 其他依赖...
    ]
    // 关键：让Witness处理java-library的所有依赖配置
    configurations = configurations.findAll { 
        it.name in ['api', 'implementation', 'compileOnly', 'runtimeOnly', 'testImplementation'] 
    }
}

注意：这个方法需要你手动维护所有依赖（包括间接依赖）的哈希值，而且Witness插件已经很久没有更新，对Gradle新版本的支持可能会有其他潜在问题，不推荐长期使用。

方案三：结合依赖版本锁定+校验 #

无论选择哪种校验方式，都建议开启Gradle的依赖版本锁定，先把所有依赖的版本固定下来，再进行校验：
在settings.gradle中启用依赖锁定：

enableFeaturePreview('STABLE_CONFIGURATION_CACHE')
dependencyLocking {
    lockAllConfigurations()
}

运行./gradlew dependencies --write-locks生成锁定文件，这样能避免动态版本带来的依赖变更，让校验逻辑更稳定。

内容的提问来源于stack exchange，提问作者Martín Coll