Nexus如何自动验证下载的工件的身份验证？
Nexus如何自动验证下载的工件的身份验证？
提问于 2013-02-21 19:36:37
我已经对Maven中央存储库安全性进行了一些研究，特别是交叉构建注入攻击(XBI)。我阅读了一些链接，我在下面列出了这些链接：
http://www.sonatype.com/people/2010/01/how-to-generate-pgp-signatures-with-maven/
http://maven.apache.org/guides/mini/guide-central-repository-upload.html
Verification of dependency authenticy in Maven POM based automated build systems
以下是我理解的要点
- 所有上传到中央存储库都需要由开放源码项目的发布管理人员拥有的PGP私钥签名的工件。
- 公钥应提交给密钥服务器，如MIT密钥服务器。
- 手工验证下载的工件很麻烦。
- 存储库管理器(如Nexus )提供了自动验证下载工件签名的功能。
然而，Nexus是如何进行自动验证的？Nexus是否维护了Maven Central宿主的所有开源项目的PGP密钥库？sonatype是否验证并签名开放源码项目上传到密钥服务器的PGP公钥？有人知道内饰吗？
回答 1
Stack Overflow用户
发布于 2013-07-02 22:34:48
所有GPG密钥都可以在公钥服务器上使用，Nexus将根据每个下载的组件验证这些密钥。每次上传到中央需要一个已知的，注册的和批准的密钥。
有关此过程的更多详细信息见https://docs.sonatype.org/display/Repository/Sonatype+OSS+Maven+Repository+Usage+Guide。
页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://stackoverflow.com/questions/15010743
复制相关文章
相似问题
腾讯云开发者
