Maven-Lockfile：高完整性重建过去 Java 版本
软件工程
2025-10-07 v2 密码学与安全
摘要
现代软件项目依赖大量第三方库，这使得可重复且安全的构建变得复杂。 Several package managers 通过生成锁定文件来解决此问题，该文件冻结依赖项版本，可用于验证依赖项的完整性。然而，Maven 是 Java 生态系统中最重要的包管理器之一，却缺乏对锁定文件的本地支持。我们提出 Maven-Lockfile 用于生成和更新锁定文件，支持从过去的版本重新构建项目。我们的锁定文件捕获所有直接和传递依赖项及其校验和，从而实现高完整性构建。我们的评估显示，Maven-Lockfile 能够从历史提交中重现构建，并能够检测被篡改的构件。通过最小配置，Maven-Lockfile 为 Java 项目提供了现代构建完整性和构建可重复性，促进了 Java 生态系统在软件供应链安全方面的未来研究。
引用
@article{arxiv.2510.00730,
title = {Maven-Lockfile: High Integrity Rebuild of Past Java Releases},
author = {Larissa Schmid and Elias Lundell and Yogya Gamage and Benoit Baudry and Martin Monperrus},
journal= {arXiv preprint arXiv:2510.00730},
year = {2025}
}