私有仓库是企业级java项目依赖管理的准入闸门，需在nexus后台确认repositories菜单存在且包含maven-releases（hosted, releases）和maven-snapshots（hosted, snapshots）两个仓库。
企业级Java项目构建过程中，依赖来源不可控、版本随意升级、第三方jar包混入生产环境，这些都会直接引发线上故障。配置Maven私服不是为了替换中央仓库，而是建立一道可控的依赖准入闸门。
确认私有仓库服务已就绪
登录Nexus管理后台（如 http://nexus.company.com:8081），使用管理员账号进入。检查左侧菜单中【Repositories】是否可见，且至少存在一个类型为hosted的releases仓库（如maven-releases）和一个snapshots仓库（如
maven-snapshots）。若无，请先创建——这一步跳过将导致后续所有配置无法生效。 <p>在<strong>【Administration → Security → Realms】</strong>中，确认<strong>Maven Repository Realm</strong>已启用。未启用时，Maven客户端无法完成身份校验，所有deploy操作会返回401错误。</p> <h2>配置Maven客户端认证凭据</h2> <p>编辑用户级settings.xml（路径：<code>~/.m2/settings.xml</code></p>），在
<servers></servers>节点内添加：
注意：【id必须与pom.xml中distributionManagement的repository id完全一致】，大小写敏感，多一个空格也会失败。密码不要明文填写，应使用Maven自带的mvn --encrypt-password命令生成加密串。
若公司已启用LDAP或SSO集成，用户名应为域账号（如CORP\jane.doe），而非Nexus内置账号。
强制项目优先走私有仓库
第一步：在settings.xml的<profiles></profiles>中定义仓库策略：
第二步：激活该profile，添加到<activeprofiles></activeprofiles>节点：
第三步：在项目pom.xml中禁用中央仓库回退——这是关键安全控制点：
限制快照依赖流入生产环境
方法一：在Nexus UI中关闭releases仓库的“Allow redeploy”选项。启用该选项会使同一GAV坐标可被覆盖，破坏构建可重现性。
方法二：在项目pom.xml中显式声明快照仓库不可用：
方法三：在CI流水线脚本中加入校验步骤，执行mvn help:effective-pom | grep -q 'snapshot'，命中则中断构建。这能拦截开发人员误将-SNAPSHOT版本打入release分支。
启用依赖签名验证
在Nexus管理界面进入【Security → GPG】，上传企业GPG主密钥并启用签名验证。随后在settings.xml中添加：
将GPG_PASSPHRASE作为CI环境变量注入，避免硬编码。未签名的构件在拉取时会被Nexus拦截，日志中显示Signature verification failed。
