AJ

Axiom JDK

IT и технологии · 21 августа 2026 г.

Открыть канал в MAX

Gradle добавил пояснения для доверенных PGP-ключей

Gradle добавил пояснения для доверенных PGP-ключей Файл dependency verification может содержать список доверенных ключей. Но без контекста никто и не вспомнит, откуда взялся конкретный fingerprint и почему ему вообще решили доверять. В Gradle 9.7 для элементов <trusted-key> и <pgp> появились атрибуты origin и reason. Рядом с ключом можно зафиксировать источник проверки и основание доверия. При ошибке верификации Gradle также показывает, сколько других ключей уже доверено для того же модуля или группы: это помогает отличить первую загрузку зависимости от возможной ротации ключа. Есть принципиальное ограничение: origin и reason носят только информационный характер. Gradle сохраняет их в метаданных, но не использует при криптографической проверке. Еще одно изменение касается воспроизводимых архивов: timestamp для файлов теперь можно задавать через reproducibleFileTimestamp, в том числе на основе SOURCE_DATE_EPOCH. Подробности