Maven 不允许在 pom.xml 中明文声明仓库登录凭证，这是由其安全设计强制约束的核心原则：凭证必须与构建逻辑分离，仅允许在 settings.xml 中通过 配置管理。
maven 不允许在 `pom.xml` 中明文声明仓库登录凭证，这是由其安全设计强制约束的核心原则：凭证必须与构建逻辑分离，仅允许在 `settings.xml` 中通过 `
在 Maven 的架构中，pom.xml 被视为项目元数据和构建逻辑的声明文件，需具备可共享性、可版本化、可审计性。若允许将敏感凭据（如 Artifactory 用户名/密码、API Key）嵌入其中，将导致严重安全隐患：代码泄露即等于凭证泄露，违反最小权限与凭证隔离的基本安全规范。
✅ 正确做法：使用 settings.xml 统一管理认证
您已在 pom.xml 中正确定义了私有仓库 <repository></repository>（id="custom-repo"），下一步只需在 Maven 的 settings.xml（推荐使用用户级 ~/.m2/settings.xml）中补充对应 <server></server> 配置：
<settings xmlns="http://maven.apache.org/SETTINGS/1.0.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://maven.apache.org/SETTINGS/1.0.0
https://maven.apache.org/xsd/settings-1.0.0.xsd">
<servers>
<server>
<id>custom-repo</id>
<username>PID7552</username>
<password>bvdbhsdvhfbvhfbvbfvhfhjfhfvbdfbvhfvh</password>
<!-- 若使用 Token（如 Artifactory API Key），也可填入 password 字段 -->
<!-- 注意：生产环境强烈建议使用加密密码或 token，避免明文 -->
</server>
</servers>
</settings>⚠️ 关键要求：<server></server> 的 <id></id> 必须与 pom.xml 中 <repository></repository> 的 <id></id> 完全一致（此处均为 custom-repo），Maven 才能自动关联认证信息。
? Azure DevOps 管道快速适配建议
为加速落地，您无需手动维护 settings.xml 文件，可利用 Azure Pipelines 的 mavenAuthenticate 任务（适用于 Azure Artifacts 或 Nexus/Artifactory 私库）自动注入安全凭据：
- task: MavenAuthenticate@0
inputs:
artifactsFeeds: 'your-artifactory-feed-id' # 或配置 service connection或通过 settings.xml 模板 + 变量替换方式动态生成（推荐）：
- script: |
cat > $(HOME)/.m2/settings.xml << 'EOF'
<settings>
<servers>
<server>
<id>custom-repo</id>
<username>$(CUSTOM_REPO_USER)</username>
<password>$(CUSTOM_REPO_PWD)</password>
</server>
</servers>
</settings>
EOF
displayName: 'Generate secure settings.xml'然后在 mvn 命令中显式指定：
mvn clean package -s $(HOME)/.m2/settings.xml
❌ 错误尝试（禁止）
以下写法在任何 Maven 版本中均无效且被忽略：
- 在
<repository></repository>内添加<username></username>/<password></password>子元素 - 通过
<properties></properties>定义变量并在 URL 中拼接（如https://user:pass@host/...）——现代仓库（Artifactory/Nexus）已禁用 Basic Auth URL 方式，且 Maven 3.9+ 明确拒绝解析含凭据的 URL - 使用
<profile></profile>内嵌<repositories></repositories>并试图绑定认证——<profile></profile>仅控制仓库可见性，不承载认证能力
? 补充提示：优先级与镜像策略
若您同时配置了阿里云镜像（<mirrorof>central</mirrorof>）和私有仓库，请确保私有仓库 id 不匹配 mirrorOf 规则（如避免设为 central），否则镜像会劫持所有请求。推荐采用 mirrorOf=*,!custom-repo 实现“除私库外全部镜像”。
总结：安全不是妥协项，而是 Maven 构建体系的基石。请立即移除 pom.xml 中的 <custom-repo-username></custom-repo-username> 和 <custom-repo-password></custom-repo-password> 属性，转向 settings.xml + CI 凭据注入的标准化方案——这不仅解决当前 maven-metadata.xml 传输失败问题，更保障团队长期交付的安全性与可维护性。
