Ein einziges maven { url "http://nexus..." } mit allowInsecureProtocol = true erlaubt jedem im Netzwerk, die JARs auszutauschen, die dein Build ausführt. Ein nexusPassword=... in einer eingecheckten gradle.properties ermöglicht allen, die das Repository lesen, unter deinem Namen zu veröffentlichen. Dieser Skill findet diese und neun weitere Build-Fehler in Maven und Gradle vor dem Release und erklärt dir, wie du jeden davon behebst.

Dein Agent führt einen Scanner für deine pom.xml-Dateien, im Projekt gespeicherte Maven-settings.xml-Dateien, Gradle-Build-Skripte in Groovy und Kotlin DSL (build.gradle, build.gradle.kts, settings.gradle, eingebundene *.gradle-Skripte), gradle.properties, die Properties-Dateien der Gradle- und Maven-Wrapper und gradle/libs.versions.toml aus. Er liest POMs als XML mit Zeilennummern und setzt ${properties} ein, überspringt Groovy- und Kotlin-Kommentare, erkennt Strings mit Gradle-Interpolation ("$nexusPassword") sowie sichere Varianten (${env.NAME}, verschlüsselte Maven-Passwörter, credentials(PasswordCredentials::class), mavenLocal() mit Inhaltsfilter) und lässt deine eigene SNAPSHOT-Version und benachbarte Module unberührt. Er führt weder Maven noch Gradle oder den Wrapper aus. Das Ergebnis lautet BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheimnisse werden nie ausgegeben.

Was geprüft wird

BLOCKIEREN (vor der Auslieferung beheben)

• J01: Repositories, Spiegelserver und Veröffentlichungsziele über http://, allowInsecureProtocol, über http:// eingebundene Skripte und Überschreibungen von Mavens maven-default-http-blocker-Spiegel in settings.xml

• J02: Passwörter, Tokens und Signierschlüssel in Build-Skripten, gradle.properties, POMs, settings.xml sowie Repository- oder Wrapper-URLs (öffentliche Google-Maps- und Firebase-Schlüssel werden nicht gemeldet)

• J03: über http:// heruntergeladene Gradle- oder Maven-Wrapper

PRÜFEN (vor der Veröffentlichung prüfen)

• J11: dynamische Versionen: 1.+, latest.release, LATEST, RELEASE und Versionsbereiche

• J12: SNAPSHOT-Abhängigkeiten, -Plugins und übergeordnete POMs aus anderen Gruppen

• J13: mavenLocal() ohne Inhaltsfilter

• J14: jcenter() und Bintray-Repository-URLs

• J15: Wrapper, die Gradle oder Maven ohne distributionSha256Sum von einem Spiegelserver oder internen Server herunterladen

• J16: Maven-Plugins ohne Versionsangabe

• J17: über eine https://-URL eingebundene Build-Skripte

• J18: Maven-Repositories mit checksumPolicy ignore

Im Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein riskantes und ein sicheres Beispielprojekt (ein Maven-Dienst mit Maven-Wrapper sowie ein Gradle-Kotlin-DSL-Dienst mit Wrapper, Versionskatalog und gradle.properties) und der tatsächliche Scannerbericht zum riskanten Projekt

Grenzen

Er liest jede Datei so, wie sie vorliegt: Übergeordnete POMs außerhalb der gescannten Dateien, ~/.m2/settings.xml, ~/.gradle/gradle.properties, Convention-Plugins in buildSrc oder eingebundenen Builds und Werte aus der Kommandozeile oder CI werden nicht nachverfolgt. Einer durch eine übergeordnete POM verwalteten Plugin-Version wird daher vertraut. .mvn/maven.config und Gradle-Dateien zur Abhängigkeitsverifikation werden nicht gelesen. NOT FLAGGED ist keine Garantie.

Inhalt

Ein ZIP-Archiv mit 23 Dateien: SKILL.md, der Scanner unter scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (15 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum riskanten Beispiel).

Anwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke das Archiv in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/). Bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff und keine Datenübertragung.