java - 在gradle中使用maven-publish插件生成SHA512校验和文件

Question

maven-publish 插件默认为所有 Artifact 生成 MD5 和 SHA1 校验和文件。但是有没有办法让插件生成安全的校验和文件(SHA512 是首选)？

这很容易重现。我刚刚初始化了一个新的 java-library 项目并添加了 maven-publish 插件及其配置

构建.gradle:

apply plugin: 'java'
apply plugin: 'maven-publish'

repositories {
  jcenter()
}

dependencies {
}

publishing {
  repositories {
    maven {
      url rootProject.buildDir.path + '/repo'
    }
  }
  publications {
    mavenJava(MavenPublication) {
      groupId = 'org.gradle.sample'
      artifactId = 'project1-sample'
      version = '1.1'

      from components.java
    }
  }
}

我已经查阅了 gradle 文档和 javadoc，但根本找不到有关校验和文件的任何提示。我知道我可以使用 ANT 校验和任务轻松生成 Artifact 的校验和，如下所示

doLast {
  ant.checksum(file: archivePath, algorithm: "SHA-512")
}

但我会以某种方式需要将它们“手动”放置在实际 Artifact 旁边的正确文件夹中，这是我想避免的事情。

<小时/>

编辑:
如果无法指定校验和算法，是否可以以某种方式连接到发布任务并将自定义校验和文件添加到 Artifact 目标文件夹？我不想将校验和文件本身添加为 Artifact ，因为校验和会有 MD5 和 SHA1 校验和，这是没有意义的。

Answer 1

2019 年 11 月发布的 Gradle 6.0 在其 maven-publish 插件中默认使用 SHA-256 和 SHA-512 作为哈希算法。参见

• https://docs.gradle.org/6.0/release-notes.html (“SHA256 和 SHA512 校验和的发布”)
• https://github.com/gradle/gradle/security/advisories/GHSA-mrm8-42q4-6rm7

请注意，Gradle 6.0.1 添加了一种方法来禁止使用这些较新的算法，因为某些 Artifact 服务器不接受它们:

• https://docs.gradle.org/6.0.1/release-notes.html (“SHA256 和 SHA512 校验和的发布”)
• 将 -Dorg.gradle.internal.publish.checksums.insecure=true 添加到 CLI 或将 systemProp.org.gradle.internal.publish.checksums.insecure=true 添加到 gradle.properties 文件