JDK 서명 검증과 Maven 동작 개선
다운로드한 JDK의 서명을 검증할 수 있게 되었고, 새 Kona 배포판과 Maven 관련 개선이 추가됐다.
교안에 영향
`verify-signature`를 켠 안내나 `show-download-progress` 기본 동작을 예전 글처럼 설명하면 맞지 않을 수 있습니다.
요약
- `verify-signature`로 JDK 다운로드 서명을 검증할 수 있게 됐습니다. - 새로운 `kona` 배포판으로 Tencent Kona JDK를 설치할 수 있습니다. - `set-default: false`로 JDK를 기본값으로 두지 않고도 `JAVA_HOME__`과 Maven toolchains에 등록할 수 있습니다. - `.sdkmanrc`에서 배포판을 추론하고, Maven 로그와 `toolchains.xml` 처리 방식이 개선됐습니다.
바뀐 것
새 기능
- `verify-signature: true`를 설정하면 JDK 아카이브를 설치 전에 분리된 GPG 서명으로 검증합니다.
- 새 `kona` 배포판으로 Tencent Kona JDK를 직접 설치할 수 있습니다.
개선
- `set-default: false`를 사용하면 `JAVA_HOME`과 `PATH`는 건드리지 않으면서 `JAVA_HOME__`과 Maven toolchains에는 등록합니다.
- `.sdkmanrc`의 SDKMAN 식별자 접미사에서 배포판을 자동으로 추론합니다.
- Maven 3.9+와 Maven Wrapper에 대해 기본적으로 `MAVEN_ARGS`에 `--no-transfer-progress`를 설정하고, 생성된 `settings.xml`은 대화형 모드를 비활성화합니다.
기타
- `verify-signature-public-key`로 신뢰할 공개 키를 직접 제공할 수 있고, 서명을 지원하지 않는 배포판에서 검증을 켜면 즉시 실패합니다.
- 기존 `MAVEN_ARGS` 값은 보존되며, `show-download-progress: true`로 다운로드 진행 표시를 다시 켤 수 있습니다.
- 기본 제공 변경으로 `graalvm-community`, `javac` 문제 매처, `cache: maven` 시 Maven Wrapper 캐싱이 포함됩니다.
- 재현 가능한 빌드를 위해 고정된 `v5.5.0` 태그 또는 전체 commit SHA 사용이 권장됩니다.
수정
- 여러 번 실행해도 `toolchains.xml`에 중복 항목이 늘어나지 않도록 도구 체인 유형과 id 기준으로 중복 제거합니다.