私有仓库是企业级Java项目依赖管理的准入闸门，需在Nexus后台确认Repositories菜单存在且包含maven-releases（hosted, releases）和maven-snapshots（hosted, snapshots）两个仓库。

企业级Java项目构建过程中，依赖来源不可控、版本随意升级、第三方jar包混入生产环境，这些都会直接引发线上故障。配置Maven私服不是为了替换中央仓库，而是建立一道可控的依赖准入闸门。

确认私有仓库服务已就绪

登录Nexus管理后台（如 http://nexus.company.com:8081），使用管理员账号进入。检查左侧菜单中【Repositories】是否可见，且至少存在一个类型为hosted的releases仓库（如maven-releases）和一个snapshots仓库（如

~/.m2/settings.xml

），在节点内添加：

 nexus-releases
 deploy-user
 {hashed-password}

注意：【id必须与pom.xml中distributionManagement的repository id完全一致】，大小写敏感，多一个空格也会失败。密码不要明文填写，应使用Maven自带的mvn --encrypt-password命令生成加密串。

若公司已启用LDAP或SSO集成，用户名应为域账号（如CORP\jane.doe），而非Nexus内置账号。

强制项目优先走私有仓库

第一步：在settings.xml的中定义仓库策略：

 company-nexus
 
  
   nexus-releases
   http://nexus.company.com/repository/maven-releases/
   true
   false
  
 
 
  
   nexus-plugins
   http://nexus.company.com/repository/maven-public/
  
 

第二步：激活该profile，添加到节点：

company-nexus

Java Maven Common

Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。

下载

第三步：在项目pom.xml中禁用中央仓库回退——这是关键安全控制点：

 
  central
  https://repo.maven.apache.org/maven2
  false
  false
 

限制快照依赖流入生产环境

方法一：在Nexus UI中关闭releases仓库的“Allow redeploy”选项。启用该选项会使同一GAV坐标可被覆盖，破坏构建可重现性。

方法二：在项目pom.xml中显式声明快照仓库不可用：

 
  nexus-releases
  http://nexus.company.com/repository/maven-releases/
 
 
  nexus-snapshots
  http://nexus.company.com/repository/maven-snapshots/
 

方法三：在CI流水线脚本中加入校验步骤，执行mvn help:effective-pom | grep -q 'snapshot'，命中则中断构建。这能拦截开发人员误将-SNAPSHOT版本打入release分支。

启用依赖签名验证

在Nexus管理界面进入【Security → GPG】，上传企业GPG主密钥并启用签名验证。随后在settings.xml中添加：

 gpg-verify
 
  COMPANY-RELEASE-KEY
  ${env.GPG_PASSPHRASE}
 

将GPG_PASSPHRASE作为CI环境变量注入，避免硬编码。未签名的构件在拉取时会被Nexus拦截，日志中显示Signature verification failed。