Unterdrücken von GPG-Signaturen für Maven-basierte Continuous Integration-Builds (Travis CI)

Question

Ich verwende Travis-CI, um Continuous Integration Builds für einige Java-Open-Source-Projekte, an denen ich arbeite, bereitzustellen.

Normalerweise funktioniert das reibungslos, aber ich habe ein Problem, wenn das POM GPG-Signierung angibt, z.

<plugin> 
    <groupId>org.apache.maven.plugins</groupId> 
    <artifactId>maven-gpg-plugin</artifactId> 
    <version>1.4</version> 
    <executions> 
    <execution> 
     <id>sign-artifacts</id> 
     <phase>verify</phase> 
     <goals> 
     <goal>sign</goal> 
     </goals> 
    </execution> 
    </executions> 
</plugin> 

Dies bewirkt, dass die Travis scheitern bauen - offenbar, weil es kein Passwort zur Verfügung hat, während mvn install läuft. Ein Beispiel finden Sie in this build.

Was ist der beste Weg, Maven und/oder Travis zu konfigurieren, GPG-Signaturen für CI-Test-Builds zu überspringen, aber trotzdem GPG-Signaturen durchzuführen, wenn ich einen korrekten Release-Build mache?

Answer 1

Sie müssen ein Profil erstellen & stellen Sie sicher, dass Sie nur ausführen, wenn Sie den Release-Build erstellen.

die aktuelle Plugin entfernen, und es in einem Profil wie folgt hinzu:

<profiles> 
    <profile> 
     <id>release-sign-artifacts</id> 
     <activation> 
      <property> 
       <name>performRelease</name> 
       <value>true</value> 
      </property> 
     </activation> 
     <build> 
      <plugins> 
       <plugin> 
        <groupId>org.apache.maven.plugins</groupId> 
        <artifactId>maven-gpg-plugin</artifactId> 
        <version>1.4</version> 
        <executions> 
         <execution> 
          <id>sign-artifacts</id> 
          <phase>verify</phase> 
          <goals> 
           <goal>sign</goal> 
          </goals> 
         </execution> 
        </executions> 
       </plugin> 
      </plugins> 
     </build> 
    </profile> 
</profiles> 

Und dann, wenn Sie tatsächlich Release tun müssen, eine Immobilie zu Ihrem mvn Befehl hinzufügen:

mvn -DperformRelease=true ... 

Answer 2

Disable GPG Unterzeichnung durch die folgende Zeile in der .travis.yml Datei hinzufügen:

install: mvn install -DskipTests -Dgpg.skip 

E Beispiel: https://github.com/stefanbirkner/system-rules/blob/master/.travis.yml

Answer 3

Ich fand einen etwas einfacheren Weg, es mit dem Profil zu tun, wie beschrieben above. Anstatt einen neuen Eigenschaftswert zu verwenden, können Sie die Eigenschaft gpg.passphrase verwenden, die beim Signieren trotzdem bereitgestellt werden muss. Der modifizierte Eigenschaft Abschnitt ist wie folgt:

<activation> 
    <property> 
     <name>gpg.passphrase</name> 
    </property> 
</activation> 

Hinweis, dass kein Wert ist erforderlich, da Sie dieses Profil aktiviert werden sollen, wenn ein beliebiger Wert für diese Eigenschaft festgelegt ist.

Die entsprechende Befehlszeile sieht dann wie folgt aus:

mvn <command> -Dgpg.passphrase=myverysupersecretpassphrase 

Sie können dies, indem Sie es die folgenden zwei Möglichkeiten testen:

mvn install 

Keine unterzeichnet Artefakte erzeugt werden, und:

mvn install -Dgpg.passphrase=myverysupersecretpassphrase 

Signierte Artefakte werden erstellt.

das tatsächliche zeichnetes Release des Artefakte zu tun wie folgt vor:

mvn release:perform -Darguments=-Dgpg.passphrase=myverysupersecretpassphrase 

Der Indirektionsoperator für die Trennwirkung benötigt wird, weil es nicht die Befehlszeilenargumente direkt an den erzeugten Prozess (siehe http://maven.apache.org/plugins/maven-gpg-plugin/usage.html ausbreitet).