strict checksums 机制通过强制校验远程仓库提供的哈希值（如.sha1）与本地文件实际哈希是否一致，确保依赖包未被篡改或损坏；启用方式为命令行加 -C 参数，任一校验失败则构建立即终止，不降级处理。
Maven 的 strict checksums 机制是保障依赖包完整性和来源可信的关键防线。它不是加密验证，而是通过比对远程仓库提供的校验文件（如 .sha1、.md5）与本地下载内容的哈希值，确认依赖在传输过程中未被篡改或损坏。
为什么 strict checksums 能提升安全性
当 Maven 从中央仓库或私有仓库拉取 JAR 或 POM 文件时，理想情况下对应路径下应存在同名的校验文件（例如 guava-32.1.3-jre.jar.sha1）。启用 strict 模式后，Maven 会强制要求：
• 校验文件必须存在
• 计算出的本地哈希必须与校验文件中声明的值完全一致
• 任一不满足，构建直接失败 —— 不会静默跳过或降级处理
如何启用 strict checksums
在命令行中使用 -C（大写 C）参数即可激活严格校验：
-
mvn -C clean install：对本次构建中所有依赖和插件启用严格校验 -
mvn -C verify：常用于 CI 流水线，在执行安全扫描前先确保依赖来源干净
注意：-C 和参数之间无需空格；它作用于整个构建生命周期，包括插件解析阶段。
strict checksums 的实际效果与常见问题
启用后，你可能会遇到以下典型日志：
立即学习“Java免费学习笔记（深入）”；
-
[WARNING] Could not validate integrity of download from https://repo.maven.apache.org/.../artifact.jar: Checksum failed→ 表示哈希不匹配，构建中断 -
[ERROR] Artifact 'group:artifact:version' has no checksum file→ 远程仓库未提供校验文件，strict 模式下视为失败
后者在私有仓库或老旧镜像中较常见。解决方案不是禁用校验，而是推动仓库管理员补全校验文件，或在 settings.xml 中为该仓库配置 <checksumPolicy>fail</checksumPolicy> 并配合可信证书信任链。
配合其他安全机制使用更有效
strict checksums 是基础层防护，建议与以下措施协同使用：
-
mvn -U：强制更新 snapshot 依赖，避免缓存陈旧、未校验的快照版本 -
mvn --no-plugin-registry（或-npu）：防止插件元数据被中间人篡改 - 结合
dependency-check-maven插件：在校验文件完整的基础上，进一步识别已知 CVE 漏洞
它不替代 HTTPS 或签名验证，但能堵住“HTTPS 通道正常，但服务端文件本身已被污染”这类漏洞场景。
