gradle-wrapper.jar 官方不签名，验证应聚焦来源可信性与内容一致性：需确保其版本与gradle-wrapper.properties中distributionurl一致，并通过官方提供的sha-256校验值比对jar文件哈希。
gradle-wrapper.jar 文件怎么验签名
Gradle Wrapper 的 gradle-wrapper.jar 本身不带 Java 签名（即没有 META-INF/*.SF 或 .DSA 文件），官方从不对其 jar 进行代码签名。所以你用 jarsigner -verify 检查会直接报 jar is unsigned ——这不是你下错了，是 Gradle 官方就是这么设计的。
真正该验证的是它的来源可信性，核心靠两点：文件来源 + 内容一致性。
- 确认
gradle-wrapper.jar来自官方分发渠道：它必须和gradle-wrapper.properties中的distributionUrl对应版本一致（比如 URL 是gradle-7.4.2-bin.zip，那 jar 就该是 7.4.2 版本生成的） - 比对 SHA-256 校验值：官方每个发行包页面都提供 checksum，例如
gradle-7.4.2-bin.zip页面底部有SHA-256: a1b2c3...；解压 zip 后，gradle/wrapper/gradle-wrapper.jar的实际哈希必须与该 zip 包内附带的gradle/wrapper/gradle-wrapper.jar的哈希一致（不是和整个 zip 比） - 别信第三方镜像站打包的 wrapper jar：有些国内镜像会重打包 wrapper 目录，但没同步更新 jar 内容或校验逻辑，容易导致
ClassNotFoundException或静默降级
为什么 gradlew 脚本比 jar 更关键
gradlew（Unix）和 gradlew.bat 才是 Wrapper 的“执行入口”，它们负责下载、校验、启动真正的 Gradle。而 gradle-wrapper.jar 只是被这两个脚本调用的一个引导器，本身不包含构建逻辑。
所以检查重点其实是脚本行为是否可控：
- 打开
gradlew，看开头几行是否包含标准注释（如#!/usr/bin/env bash和官方版权声明），且没被注入额外 curl/wget 命令 - 检查脚本里
WRAPPER_JAR变量是否指向gradle/wrapper/gradle-wrapper.jar，而不是硬编码路径或网络 URL - 运行
sh -x ./gradlew --version 2>&1 | head -n 20，观察是否真的从本地 jar 启动，而不是跳过 jar 直接去拉远程 Gradle
离线环境下怎么确认 jar 没被篡改
如果你在内网、断网或 CI 构建机上使用 Wrapper，最稳妥的方式是：把整个 gradle/wrapper/ 目录当作不可变资产来管理，而不是只管 jar。
- 把
gradle/wrapper/目录加入代码审查清单：每次 PR 都需人工核对gradle-wrapper.jar和gradle-wrapper.properties是否配套（比如 7.4.2 的 properties 必须配 7.4.2 的 jar） - CI 流程中加一步校验：
sha256sum gradle/wrapper/gradle-wrapper.jar | grep -q "expected_hash_from_official_doc"
- 禁用自动 wrapper 生成：避免开发人员误执行
gradle wrapper --gradle-version 8.0，这会覆盖已有 jar 且不校验来源
常见误操作导致“看似可信实则危险”
很多团队以为只要文件存在就安全，结果在灰度发布或分支合并时踩坑。最容易忽略的是时间差和路径污染：
- 从旧分支 cherry-pick 了
gradle-wrapper.properties，但忘了同步gradle-wrapper.jar→ 两者版本错配，构建时可能卡在Could not initialize class org.gradle.internal.classloader.ClasspathUtil - IDEA 或 Android Studio 在项目根目录外缓存了 wrapper jar（比如
~/.gradle/wrapper/dists/下的旧版），导致即使你更新了项目内 jar，实际运行的仍是缓存版本 - Git 仓库里
gradle/wrapper/被设为 symbolic link，而链接目标在 CI 环境中不可达或权限不足 → 表现为 “jar exists but can’t be read”
gradlew、gradle-wrapper.jar、gradle-wrapper.properties）是否来自同一可信快照、是否被完整纳入版本控制、是否在构建链路中始终被原子化使用。
