为何Jenkins构建的同大小UAT与生产环境Jar校验和不一致？

这问题我之前在项目里碰到过好几次，其实Jar本质是ZIP格式的归档文件，就算内部所有文件的内容完全相同，ZIP/Jar的元数据或打包细节差异也会导致整体校验和（比如MD5/SHA）不一样，具体来说有这几个常见原因：

• Jar条目时间戳差异：Jar包内的每个文件条目都会存储最后修改时间戳，哪怕文件内容没变化，只要打包时间不同（比如UAT和生产环境分别打包），这些时间戳就会被写入Jar的元数据中，而哈希计算是基于整个Jar文件的字节流，自然会得到不同的校验和。你可以用jar tvf your-uat.jar和jar tvf your-prod.jar命令对比两个Jar里每个文件的时间戳。

• MANIFEST.MF文件的环境差异：META-INF/MANIFEST.MF是Jar包的核心配置文件，很多打包工具（Maven、Gradle、JDK自带的jar命令）会自动添加环境相关的字段，比如Built-By（打包用户）、Build-Jdk（打包用的JDK版本）、Created-By（打包工具信息）。如果UAT和生产环境的这些环境变量不同，哪怕代码完全一致，生成的MANIFEST.MF也会有差异，直接导致Jar的校验和变化。你可以直接解压两个Jar，打开这个文件对比就能发现问题。

• ZIP压缩实现的细微差异：不同版本的JDK、不同的打包插件（比如Maven Jar Plugin的不同版本），可能在压缩Jar时使用了不同的压缩级别或者压缩算法的细微实现差异。虽然解压后的文件内容完全相同，但压缩后的字节流会有区别，进而影响整体校验和。

• Jar包签名差异：如果生产环境的Jar包经过了代码签名（比如用于发布的签名证书），那么签名相关的块会被添加到Jar的META-INF目录下（比如.SF、.DSA文件），这会直接改变整个Jar的字节结构，哪怕原内容和UAT的Jar完全一致，校验和也会截然不同。可以用jarsigner -verify your-prod.jar来检查是否存在签名信息。

• Jar内文件的存储顺序差异：ZIP归档文件中，内部文件的存储顺序会影响整个归档的字节流。如果UAT和生产环境的打包工具在处理文件时，因为文件系统排序规则不同（比如大小写敏感的文件系统 vs 不敏感），导致Jar内文件的排列顺序不一样，也会让整体校验和产生差异。你可以用jar tf your-uat.jar和jar tf your-prod.jar输出文件列表，对比顺序是否一致。

验证方法 #

你可以先把两个Jar分别解压到不同目录，用diff -r uat-dir prod-dir确认所有文件内容完全一致，再逐一排查上面提到的元数据差异点，就能定位具体原因了。

内容的提问来源于stack exchange，提问作者sanjay