maven 明确禁止在 pom.xml 中硬编码用户名和密码，所有远程仓库的认证信息必须通过外部 settings.xml 文件统一管理，这是由 maven 安全模型强制规定的硬性约束，既保障凭证不泄露，也符合企业级 devops 最佳实践。
maven 明确禁止在 pom.xml 中硬编码用户名和密码，所有远程仓库的认证信息必须通过外部 settings.xml 文件统一管理，这是由 maven 安全模型强制规定的硬性约束，既保障凭证不泄露，也符合企业级 devops 最佳实践。
在 Maven 的设计哲学中，pom.xml 仅用于声明项目元数据与构建逻辑（如依赖坐标、插件配置、Profile 激活规则），而环境敏感信息（如私有仓库账号密码、代理凭据、密钥路径等）被严格隔离至 settings.xml —— 这一职责分离机制自 Apache Maven 2.0 起即为强制规范，并在官方文档《Guide to Deployment Security Settings》中明确强调：
"Credentials for servers must never be placed in the project's pom.xml file. They must be placed in the user's settings.xml file."
因此，您当前 POM 中定义的 <custom-repo-username></custom-repo-username> 和 <custom-repo-password></custom-repo-password> 属性不会被 Maven 解析为仓库认证凭据，也不会被任何 <repository></repository> 或 <distributionmanagement></distributionmanagement> 节点自动引用。该错误 Could not transfer metadata ... from/to custom-repo 的根本原因，正是 custom-repo 在 settings.xml 中缺少对应 <server></server> 配置，导致 Maven 尝试匿名访问受保护仓库时返回 HTTP 401。
✅ 正确配置步骤（推荐 Azure DevOps 兼容方案）
1. 在 settings.xml 中配置服务器认证（关键！）
在 CI/CD 流水线中，可通过变量注入或脚本动态生成 settings.xml。以下为最小可用模板（保存为 ~/.m2/settings.xml 或通过 -s 参数指定）：
<settings xmlns="http://maven.apache.org/SETTINGS/1.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemalocation="http://maven.apache.org/SETTINGS/1.0.0
https://maven.apache.org/xsd/settings-1.0.0.xsd"><servers><server><id>custom-repo</id><!-- 必须与 pom.xml 中 repository.id 完全一致 --><username>${env.CUSTOM_REPO_USERNAME}</username><password>${env.CUSTOM_REPO_PASSWORD}</password></server></servers></settings>
⚠️ 注意：
<id></id>值必须严格匹配 POM 中<repository><id>custom-repo</id></repository>—— 大小写、连字符均需一致。Maven 通过此 ID 关联认证信息与仓库地址。
2. Azure DevOps Pipeline 中安全注入凭证
避免明文硬编码，使用 Pipeline Variables（Secret） + File Transform Task 或 Script 写入：
# azure-pipelines.yml 示例
steps:
- task: Bash@3
displayName: 'Generate secure settings.xml'
inputs:
targetType: 'inline'
script: |
mkdir -p ~/.m2
cat > ~/.m2/settings.xml
<servers><server><id>custom-repo</id><username>$(CUSTOM_REPO_USERNAME)</username><password>$(CUSTOM_REPO_PASSWORD)</password></server></servers>
EOF
env:
CUSTOM_REPO_USERNAME: $(CUSTOM_REPO_USERNAME)
CUSTOM_REPO_PASSWORD: $(CUSTOM_REPO_PASSWORD)
- task: Maven@4
displayName: 'Maven package'
inputs:
mavenPomFile: 'pom.xml'
goals: 'clean package'
options: '-s ~/.m2/settings.xml' # 显式指定 settings.xml 路径
3. （可选）增强安全性：密码加密
对于长期维护场景，建议使用 mvn --encrypt-password 对密码加密，并在 settings-security.xml 中配置主密码（需提前部署到 Agent）。但对 Azure DevOps 短生命周期 Agent，直接使用 Secret 变量已足够安全。
❌ 为什么不能在 pom.xml 中放凭据？
- 安全风险：POM 通常提交至 Git，凭据将永久暴露于代码库历史中；
- 权限失控：所有开发者/CI 账号均可读取，违背最小权限原则；
-
违反约定：Maven 构建生命周期（如
deploy阶段）仅从settings.xml加载<server></server>，POM 中无解析逻辑； - 工具链兼容性问题：IDE（IntelliJ/Eclipse）、CI 工具、依赖分析器均遵循此规范，强行绕过将导致不可预测行为。
✅ 总结
| 项目 | 正确做法 | 错误做法 |
|---|---|---|
| 认证位置 |
settings.xml → <servers><server><id></id></server></servers> 匹配 POM 中仓库 ID |
在 pom.xml 中写 <properties></properties> 或 <distributionmanagement></distributionmanagement>
|
| 凭证存储 | Azure DevOps Secret 变量 + 动态生成 settings.xml
|
明文写入 XML 或属性文件 |
| ID 一致性 |
pom.xml 的 <repository><id></id></repository> 与 settings.xml 的 <server><id></id></server> 必须完全相同
|
使用不同 ID（如 custom-repo vs artifactory-server） |
请立即移除 POM 中的 <custom-repo-username></custom-repo-username> 和 <custom-repo-password></custom-repo-password> 属性，并按上述流程配置 settings.xml。此举不仅解决当前构建失败，更是建立可持续、合规、可审计的 Java 依赖治理基础。
