Нужно ли подписывать JAR-файл с подписью PGP на publi sh в Maven central?

Question

У меня есть простое JAVA приложение, и мне нравится публиковать sh мой JAR в maven центральном репозитории . При просмотре процедуры упоминается, что мой JAR-файл должен быть подписан с подписью PGP.

https://maven.apache.org/repository/guide-central-repository-upload.html

В документации упоминается, что гарантирует, что они загружают оригинал , который мы должны подписать. Если это так, есть ли способ загрузить файл JAR в maven central без подписи в целях тестирования для загрузки?

Кроме того, мой JAR подписан сертификатом с подписью кода. Итак, мне действительно нужна эта подпись PGP? Поскольку Подписание JAR с помощью самого сертификата подтверждает, что он был из доверенного источника. Нужна ли нам эта дополнительная подпись PGP? Если так, то кто-нибудь может это объяснить.

Буду признателен, если будет какое-либо решение для публикации в maven central без подписи. Пожалуйста, сообщите мне об этом

Примечание: использование gradle в качестве инструмента сборки для публикации JAR в maven central.

Answer 1

Да, вы делаете. Это необходимо, так как это их политика.

Для небольшого разработчика с открытым исходным кодом проще всего, вероятно, зарегистрироваться - https://central.sonatype.org/pages/ossrh-guide.html, чтобы вы могли pu sh, когда захотите после первоначальной регистрации.