3. 更新包构建：构建工具选择与产物管理

在软件更新策略中，构建环节是连接源代码与可分发产物的桥梁。选择合适的构建工具、规范管理构建产物、并实施签名与校验机制，是保障更新包可靠性、安全性与可追溯性的关键。本章节将深入解析这三部分核心实践。

3.1 构建工具选择：Maven、Gradle、Webpack

构建工具的选择直接影响更新包的构建效率、可维护性及扩展能力。以下从适用场景、核心特性与配置示例三个维度进行对比。

特性	Maven	Gradle	Webpack
主要语言	Java / JVM	Java / Kotlin / Groovy / C++	JavaScript / TypeScript / CSS
构建模型	声明式（XML）	编程式（DSL）	配置式（JS/JSON）
增量构建	有限支持	原生支持（缓存）	支持（持久化缓存）
依赖管理	Maven Central	Maven / Ivy / 自定义	npm / yarn
典型输出	JAR / WAR / EAR	JAR / AAR / 可执行文件	Bundle / Chunk / 静态资源

3.1.1 Maven 典型配置（pom.xml）

<project>
  <modelVersion>4.0.0</modelVersion>
  <groupId>com.example</groupId>
  <artifactId>update-service</artifactId>
  <version>2.1.0-RELEASE</version>
  <packaging>jar</packaging>

  <build>
    <plugins>
      <plugin>
        <groupId>org.apache.maven.plugins</groupId>
        <artifactId>maven-jar-plugin</artifactId>
        <configuration>
          <archive>
            <manifest>
              <mainClass>com.example.App</mainClass>
            </manifest>
          </archive>
        </configuration>
      </plugin>
    </plugins>
  </build>
</project>

3.1.2 Gradle 典型配置（build.gradle.kts）

plugins {
    java
    id("org.springframework.boot") version "3.2.0"
}

group = "com.example"
version = "2.1.0-RELEASE"

dependencies {
    implementation("org.springframework.boot:spring-boot-starter-web")
    testImplementation("org.junit.jupiter:junit-jupiter:5.10.0")
}

tasks.withType<Jar> {
    manifest {
        attributes["Main-Class"] = "com.example.App"
    }
}

3.1.3 Webpack 典型配置（webpack.config.js）

const path = require('path');

module.exports = {
  entry: './src/index.js',
  output: {
    filename: 'bundle.[contenthash].js',
    path: path.resolve(__dirname, 'dist'),
    clean: true,
  },
  module: {
    rules: [
      { test: /\.js$/, exclude: /node_modules/, use: 'babel-loader' },
      { test: /\.css$/, use: ['style-loader', 'css-loader'] },
    ],
  },
  optimization: {
    splitChunks: { chunks: 'all' },
  },
};

3.2 构建产物管理

构建产物（Artifact）是更新包的直接载体。规范的管理策略包括：

唯一命名规则：采用 groupId:artifactId:version:classifier 或 name-version-platform.ext 格式，确保每个产物可唯一标识。
版本策略：遵循语义化版本（SemVer），如 2.1.0-RELEASE、3.0.0-beta.1。快照版本（SNAPSHOT）仅用于开发阶段。
制品库存储：使用 Nexus、Artifactory 或云存储（S3、OSS）集中管理，支持元数据检索与访问控制。
清理策略：定期清理过期快照版本，保留最近 N 个稳定版本，避免存储膨胀。

产物目录结构示例

repository/
├── com/example/update-service/
│   ├── 2.1.0-RELEASE/
│   │   ├── update-service-2.1.0-RELEASE.jar
│   │   ├── update-service-2.1.0-RELEASE.jar.asc      # GPG 签名
│   │   ├── update-service-2.1.0-RELEASE.pom
│   │   └── update-service-2.1.0-RELEASE-checksum.md5
│   ├── 2.1.1-RELEASE/
│   │   └── ...
│   └── 2.2.0-SNAPSHOT/
│       └── ...
└── frontend/webapp/
    ├── 1.0.0/
    │   ├── bundle.a1b2c3d4.js
    │   ├── bundle.a1b2c3d4.js.gz
    │   └── manifest.json
    └── ...

3.3 构建签名与校验

签名与校验是更新包安全性的最后一道防线，确保产物在传输过程中未被篡改，且来源可信。

3.3.1 签名实践

GPG 签名：使用 GnuPG 对 JAR、WAR 等二进制文件进行签名，生成 .asc 文件。Maven 可通过 maven-gpg-plugin 自动签名。
JAR 签名：使用 jarsigner 工具对 JAR 文件进行签名，嵌入证书链，适用于 Java Web Start 或 Applet 场景。
容器镜像签名：使用 cosign（Sigstore 项目）对 Docker 镜像进行签名，支持 OCI 标准。
前端资源签名：对 JS Bundle 生成 SRI（Subresource Integrity）哈希，嵌入 HTML 中，由浏览器校验。

3.3.2 校验命令示例

# GPG 校验
gpg --verify update-service-2.1.0-RELEASE.jar.asc update-service-2.1.0-RELEASE.jar

# SHA-256 校验
sha256sum update-service-2.1.0-RELEASE.jar
# 输出: a1b2c3d4e5f6...  update-service-2.1.0-RELEASE.jar

# jarsigner 校验
jarsigner -verify update-service-2.1.0-RELEASE.jar

# cosign 校验（容器镜像）
cosign verify --key cosign.pub registry.example.com/update-service:2.1.0

3.3.3 集成到构建流水线

以下是一个集成 GPG 签名的 Maven 插件配置片段：

<plugin>
  <groupId>org.apache.maven.plugins</groupId>
  <artifactId>maven-gpg-plugin</artifactId>
  <version>3.2.0</version>
  <executions>
    <execution>
      <id>sign-artifacts</id>
      <phase>verify</phase>
      <goals>
        <goal>sign</goal>
      </goals>
    </execution>
  </executions>
</plugin>

💡 最佳实践提示： 签名密钥应妥善保管，建议使用硬件安全模块（HSM）或密钥管理服务（KMS）。公钥应通过可信渠道（如密钥服务器、项目官网）分发。对于高安全要求的更新，可结合时间戳服务（TSA）防止签名过期。

本节核心要点： 工具选型匹配场景 · 产物管理规范统一 · 签名校验保障安全

📚 课程目录