如何配置Maven settings.xml中的私服认证信息？

本文共计1037个文字，预计阅读时间需要5分钟。

请将以下伪原创开头内容简化，不要试图图解问题，不要啰嗦，不超过100个字，直接输出结果：

• 错误位置示例：<profile><servers><server>...</server></servers></profile> → 完全无效
• 正确结构是：<settings><servers><server><id>my-nexus</id>...</server></servers></settings>
• <id> 值必须和 pom.xml 中 <distributionManagement> 的 <repository> 或 <snapshots> 的 <id> 完全一致（大小写敏感）

密码明文存 settings.xml 太危险，怎么安全加密

Maven 自带 settings-security.xml 加密机制，但不是直接加密密码，而是加密“主密码”再用它加密 server 密码。跳过这步就只能明文存，而明文在 CI/CD 或团队共享时极易泄露。

• 先生成主密码：mvn --encrypt-master-password your-master-pass，结果填入 ~/.m2/settings-security.xml 的 <master>
• 再加密实际密码：mvn --encrypt-password your-server-pass，把输出填到 <password> 字段
• 注意：加密命令必须用和构建环境相同的 Maven 版本执行，不同版本加密结果不兼容
• 如果用 Nexus/Artifactory，建议优先配 LDAP 或 token 认证，避免依赖 settings.xml 密码

<server> 的 <username> 和 <password> 对哪些操作起作用

只影响需要认证的远程仓库操作：部署（mvn deploy）、发布（mvn release:perform）、某些插件拉取私有依赖（如 maven-dependency-plugin 的 unpack 目标），但不影响普通 mvn compile 或本地依赖解析。

• 下载依赖走的是 <repositories> 和 <pluginRepositories>，它们靠 <id> 匹配 <server>，但仅当该仓库配置了需要认证的 URL（如 https://nexus.example.com/repository/maven-releases/）才触发认证
• mvn clean install 默认不触发任何 server 认证，除非你显式配置了 <distributionManagement> 并执行了 deploy
• CI 环境中常漏掉 <server> 配置，导致 deploy 报错：401 Unauthorized 或 Failed to deploy artifacts: Could not transfer artifact ... Access denied to: ... Return code is: 401

私服地址变更后，<server> 的 <id> 还能复用吗

可以，但前提是新旧私服使用同一套用户体系、且 <id> 在 pom.xml 或 CI 脚本中没硬编码成其他值。真正决定是否匹配的是 <id> 字符串本身，不是 URL。

• 常见误区：以为改了 <url> 就要同步改 <id> —— 不需要。只要 pom.xml 里 <repository><id> 没变，Maven 就仍会找这个 <id> 对应的 <server>
• 但如果新私服启用了不同认证方式（比如从 Basic 改为 Bearer Token），<username>/<password> 就不再适用，得换用 <configuration> 配 token，或改用 Maven 3.8.2+ 的 <authenticator> 扩展
• 多个环境（dev/staging/prod）共用一个 <id> 时，容易在切换 profile 时误用错 server，建议按环境区分 <id>，比如 nexus-dev、nexus-prod

最容易被忽略的是：Maven 不校验 <server> 配置是否存在对应仓库，它只在真正发起 HTTP 请求时才报错。所以配置写错了、ID 拼错了、密码过期了，往往要等到 CI 流水线 deploy 阶段才暴露，而不是在本地验证阶段。