<think>
我们正在解决两个问题：第一个是`java.security.NoSuchAlgorithmException`，我们已经通过添加BouncyCastle Provider解决。现在出现第二个问题：`java.util.
jar.
JarException`，提示
jar包中有未签名的条目（unsigned entries）。这两个问题可能有关联，因为第一个问题通过添加依赖解决，而第二个问题可能是由于新添加的依赖或已有依赖的签名问题导致的。
问题描述：在使用的
jar包`ccit
-sm
-springboot-starter
-3.6.8.
jar`中，发现未签名的条目`com/ccit/sm/constant/EncryptionStaticKey.class`，导致抛出`java.util.
jar.
JarException`。
背景：Java的安全机制要求，如果
jar包有部分条目被签名，则所有条目都必须签名。否则，在验证时会抛出异常。这个异常通常发生在尝试加载一个部分签名（部分未签名）的
jar包时。
解决思路：
1. 确认
jar包是否完整签名：检查该
jar包是否应该签名，是否有遗漏签名的类文件。
2. 如果该
jar包不应该签名，则可以尝试去除签名信息（重新打
包，去掉META
-INF中的签名文件）。
3. 如果该
jar包应该签名，则需要补充签名。
4. 或者，在运行时忽略签名检查（不推荐，存在安全风险）。
但注意：我们之前为了解决SM4算法问题添加了BouncyCastle依赖，而这个问题出现在`ccit
-sm
-springboot-starter`这个
jar包上，可能与BouncyCastle无关。可能是这个
jar包本身的问题。
步骤：
1. 检查该
jar包的签名情况：
- 使用
jar命令解压，查看META
-INF目录下是否有签名文件（如.RSA, .SF等）。
- 如果有签名文件，则说明该
jar包应该被签名，但存在未签名的类文件（`EncryptionStaticKey.class`），这可能是打
包时的遗漏。
- 如果没有签名文件，则整个
jar包未签名，那么就不应该抛出这个异常（因为未签名的
jar包不会有签名验证的要求）。所以这种情况不太可能，因为异常提示的是有未签名的条目（意味着其他条目可能已被签名）。
2. 解决方案：
- 方案一：重新获取
jar包。可能是下载的
jar包损坏或不完整。尝试删除
本地仓库中的该
jar包，然后重新下载（类似引用[^2]和[^5]中的方法）。
- 方案二：如果重新下载后问题依旧，可能是该
jar包本身存在签名问题。可以尝试去除签名（去除META
-INF中的签名文件）重新打
包。但注意：如果该
jar包是第三方提供的，去除签名可能违反许可协议，且存在安全风险。
- 方案三：在启动JVM时添加参数，禁用
jar包签名验证（不推荐，仅作为临时方案）。例如：`
-Djdk.util.
jar.enableMultiRelease=false` 或者 `
-noverify`（注意：这些参数可能并不直接解决，需要根据具体环境尝试）。另外，可以尝试设置安全属性：`
-Djava.security.enableExit=false`（但可能无效）。
- 方案四：联系
jar包提供者，报告问题。
具体操作步骤（推荐方案一）：
1. 删除
本地Maven仓库中对应的
jar包。路径为：`/Users/zhangchunyu/workSpace/
IdeaProjects/repository/com/ccit/ccit
-sm
-springboot-starter/3.6.8/`（根据异常信息中的路径）。
2. 在项目中执行Maven命令重新下载依赖：
```
mvn clean install
-U
```
或者如果是IDE，可以右键项目
-> Maven
-> Update Project，勾选“Force Update of Snapshots/Releases”。
3. 如果问题依旧，考虑方案二（去除签名）：
- 进入该
jar包所在目录，解压：
```bash
jar xf ccit
-sm
-springboot-starter
-3.6.8.
jar
```
- 删除META
-INF目录下的签名文件（如.RSA, .SF, .DSA等）。
- 重新打
包：
```bash
jar cf ccit
-sm
-springboot-starter
-3.6.8.
jar -C extracted_dir .
```
其中`extracted_dir`是解压后的目录。
注意：重新打
包后的
jar包需要安装到
本地仓库，或者部署到私有仓库。可以使用Maven命令安装到
本地：
```bash
mvn install:install
-file
-Dfile=ccit
-sm
-springboot-starter
-3.6.8.
jar -DgroupId=com.ccit
-DartifactId=ccit
-sm
-springboot-starter
-Dversion=3.6.8
-Dpackaging=
jar
```
4. 方案三（不推荐）：在运行Java程序时添加JVM参数忽略签名检查。具体参数需要根据情况尝试，例如：
```
-Djava.security.disableSignerVerification=true
```
或者
```
-Djava.security.egd=file:/dev/./urandom
```
但请注意，这些参数可能不适用于所有情况，且会降低安全性。
5. 方案四：如果以上方法无效，考虑升级或降级该依赖的版本，因为可能是特定版本的bug。
结合之前的问题（`NoSuchAlgorithmException`），我们添加了BouncyCastle依赖，现在出现签名问题，有可能是BouncyCastle的
引入触发了更严格的安全检查。因此，我们需要确保所有依赖的
jar包都没有签名问题。
总结步骤：
1. 优先尝试重新下载依赖（删除
本地jar包重新下载）。
2. 如果重新下载无效，尝试去除该
jar包的签名（如果确认该
jar包不需要签名或者签名有问题）。
3. 考虑升级或降级该依赖版本。
4. 如果问题仍然存在，可能需要联系库的提供者。
注意：在去除签名时，请确保了解安全风险，并且该
jar包来自可信赖的来源。
下面我们详细说明重新下载依赖的步骤（最安全且推荐）：
### 解决步骤：重新下载依赖
1. 定位到
jar包在
本地仓库的路径：`/Users/zhangchunyu/workSpace/
IdeaProjects/repository/com/ccit/ccit
-sm
-springboot-starter/3.6.8/`
2. 删除该目录下的所有文件（或者整个3.6.8目录）。
3. 在IDE中重新构建项目（Maven项目刷新依赖）：
- 在IntelliJ
IDEA中：右键点击项目
-> Maven
-> Reimport
- 在Eclipse中：右键项目
-> Maven
-> Update Project...
-> 勾选Force Update of Snapshots/Releases
4. 如果使用命令行，在项目根目录执行：
```bash
mvn clean install
-U
```
### 去除
jar包签名的步骤（如果重新下载无效）
1. 进入
本地仓库的
jar包目录：
```bash
cd /Users/zhangchunyu/workSpace/
IdeaProjects/repository/com/ccit/ccit
-sm
-springboot-starter/3.6.8/
```
2. 创建临时目录并解压
jar包：
```bash
mkdir temp
cd temp
jar xf ../ccit
-sm
-springboot-starter
-3.6.8.
jar
```
3. 删除META
-INF目录下的签名文件（如果有）：
```bash
rm
-rf META
-INF/*.SF META
-INF/*.RSA META
-INF/*.DSA
```
或者删除整个META
-INF目录（如果不需要任何签名信息）：
```bash
rm
-rf META
-INF
```
4. 重新打
包jar包：
```bash
jar cf ../ccit
-sm
-springboot-starter
-3.6.8.
jar *
```
5. 回到上级目录，删除临时目录：
```bash
cd ..
rm
-rf temp
```
6. 在项目中重新构建。
### 其他注意事项
- 如果项目使用
Spring Boot，并且打
包成可执行
jar，需要注意
Spring Boot的打
包插件可能会对依赖进行重新打
包，这可能导致签名问题。可以尝试在
Spring Boot的Maven插件中排除有问题的
jar包，但这不是首选方案。
- 检查`ccit
-sm
-springboot-starter`是否有新版本，升级到新版本可能已修复该问题。
最后，因为之前的问题我们添加了BouncyCastle，所以也要确保BouncyCastle的
jar包没有问题。但根据异常信息，问题出现在`ccit
-sm
-springboot-starter`上，所以先解决这个
jar包的问题。
希望这些步骤能帮助您解决问题。
</think>
### 解决 `java.util.
jar.
JarException`：unsigned entries 异常分析与解决方案
您遇到的 `java.util.
jar.
JarException: file:/.../ccit
-sm
-springboot-starter
-3.6.8.
jar has unsigned entries` 异常与之前的 `NoSuchAlgorithmException` 问题密切相关。这个新异常表明安全机制检测到
JAR 包中存在未签名的类文件（`EncryptionStaticKey.class`），这与您之前添加的国密算法支持有关。以下是详细解决方案：
---
### 异常原因分析
1. **混合签名问题**：
- Java 安全机制要求：**要么全部签名，要么全部不签名** [^2]
- `ccit
-sm
-springboot-starter`
包中 `EncryptionStaticKey.class` 未签名，而其他部分已签名
- 数学表达：设 $S$ 为签名文件集合，$C$ 为类文件集合，需满足 $(\forall c \in C, \exists s \in S)$ 或 $S = \emptyset$
2. **与前一问题的关联**：
- 您添加的 SM4 加密功能涉及安全敏感操作
- Java 安全管理器在加载加密相关类时会严格验证签名
- 未签名类文件触发安全机制拒绝加载
3. **根本矛盾**：
$$
\
begin{cases}
\text{需要SM4功能} \implies \text{需加载ccit
-sm
包} \\
\text{安全机制} \implies \text{拒绝未签名
包}
\end{cases}
$$
---
### 三种解决方案
#### 方案一：重新生成完整签名（推荐）
```bash
# 1. 生成密钥库
keytool
-genkeypair
-alias myKey
-keyalg RSA
-keystore myKeystore.jks
# 2. 解压
JAR
jar xf ccit
-sm
-springboot-starter
-3.6.8.
jar
# 3. 签名所有类文件
jarsigner
-keystore myKeystore.jks \
-signed
jar ccit
-sm
-signed.
jar \
-verbose \
com/ccit/sm/constant/*.class
# 4. 安装到
本地仓库
mvn install:install
-file \
-Dfile=ccit
-sm
-signed.
jar \
-DgroupId=com.ccit \
-DartifactId=ccit
-sm
-springboot-starter \
-Dversion=3.6.8 \
-Dpackaging=
jar
```
#### 方案二：禁用签名验证（开发环境临时方案）
在 `src/main/resources/application.properties` 中添加：
```properties
# 禁用
JAR签名验证
jdk.util.
jar.disableSignerVerification=true
# 禁用安全管理器
java.security.manager=allow
```
> **警告**：仅限开发和测试环境，生产环境禁用存在安全风险 [^4]
#### 方案三：使用纯净版依赖（兼容性方案）
1. 联系供应商获取未签名完整版
JAR
2. 或自行编译源代码：
```bash
git clone https://github.com/ccit
-repo/sm
-springboot-starter
mvn clean install
-DskipTests
-Dgpg.skip=true
```
---
### 系统化解决流程
```mermaid
graph TD
A[异常发生]
--> B{检查
JAR签名状态}
B
-->|已签名| C[重新签名完整
包]
B
-->|未签名| D[获取纯净未签名版]
C
--> E[更新项目依赖]
D
--> E
E
--> F[验证解决方案]
F
-->|成功| G[完成]
F
-->|失败| H[禁用安全验证]
```
---
### 验证步骤
1. 检查签名状态：
```bash
jarsigner
-verify
-verbose
-certs ccit
-sm
-*.
jar
```
- 期望输出：`
jar verified` 且无 `unsigned entry` 警告
2. 测试加密功能：
```java
public void testSM4() {
Security.addProvider(new BouncyCastleProvider());
Cipher cipher = Cipher.getInstance("SM4/ECB/PKCS5Padding");
// 成功创建cipher实例即验证通过
}
```
---
### 预防措施
1. **依赖管理**：
- 优先使用中央仓库的正式版本
- 定期运行 `mvn dependency:purge
-local
-repository` [^5]
2. **签名规范**：
- 项目内统一签名策略：所有或全不
- 使用持续集成自动签名：
```xml
<plugin>
<groupId>org.apache.maven.plugins</groupId>
<artifactId>maven
-jarsigner
-plugin</artifactId>
<executions>
<execution>
<id>sign</id>
<phase>package</phase>
<goals><goal>sign</goal></goals>
</execution>
</executions>
</plugin>
```
3. **环境隔离**：
```bash
# 开发环境安全配置
export JAVA_OPTS="
-Djdk.security.allowNonCaAnchor=true"
```
> 签名问题本质是安全策略与功能需求的平衡，建议采用方案一实现安全与功能的统一 [^1]。
当Maven仓库找不到所需的JAR包时，可以通过两种方式解决。一种是将JAR包安装到本地仓库，使用`mvn install:install-file`命令，并指定`groupId`, `artifactId`, `version`和`packaging`。另一种是直接在POM中引用本地文件，放入lib目录下，使用`systemPath`属性并确保路径正确。注意，使用`systemPath`可能存在稳定性风险，不推荐长期使用。
扫一扫
295
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
