一句话看懂：GitHub 的 actions/setup-java 发布 v5.5.0 版本，新增 JDK 下载的加密签名验证、原生支持腾讯 Kona JDK，并修复了 Maven 工具链重复写入等多项开发者体验问题。
事件核心：发生了什么
该版本于 2026 年 7 月 8 日通过 GitHub Changelog 发布，主要变化包括：
– 签名验证：用户可设置 verify-signature: true，使 action 在安装前下载并验证 JDK 档案的 GPG 签名，目前已支持 Temurin 和 Microsoft 两个发行版，对不支持验证的发行版会直接报错而非静默跳过。
– 新增 Kona JDK 发行版：通过 kona 参数可直接安装腾讯 Kona JDK，扩大了可用的 JDK 分发来源。
– 非默认 JDK 安装：新增 set-default: false 选项，安装 JDK 后不修改 JAVA_HOME 和 PATH，但仍会导出环境变量并在 Maven toolchains 中注册，适合在单步骤中使用特定 JDK 而不影响全局设置。
– 自动识别发行版：当通过 .sdkmanrc 文件驱动 Java 版本时，action 会自动从 SDKMAN 标识后缀（如 -tem 映射到 Temurin）推断发行版，无需额外指定。
– Maven 日志静默与修复：默认启用 --no-transfer-progress 以减少构建日志数量，同时修复了多次运行 action 导致的 toolchains.xml 条目重复问题。
为什么重要
这次更新聚焦于 CI/CD 流程的可信性与效率。签名验证直接对应供应链安全痛点——在不安全的网络环境中安装 Java 工具时，开发者可以确认下载的 JDK 未被篡改。对腾讯 Kona JDK 的原生支持，则反映了中国企业级 Java 发行版在开源 CI 工具链中的融入趋势。Maven 工具链去重和日志静默修复，看似细微，却能在大型项目或频繁构建的场景下显著减少 CI 运维工作量。
对用户/开发者/创作者的影响
Java 开发者：特别是使用 GitHub Actions 进行自动构建的团队，v5.5.0 直接提升了构建的安全保障和可配置性。
企业合规团队：签名验证提供了可追溯的供应链安全审计依据，建议将 verify-signature: true 集成到所有涉及 JDK 安装的 workflow 中。
Maven 用户：默认的静默日志和工具链去重，能减少 CI 日志噪音，避免因重复条目导致的构建失败或警告。
腾讯 Kona JDK 用户：不再需要手动安装或编写额外脚本，可直接通过 setup-java 在 CI 环境中部署。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
1. 签名验证覆盖范围：目前仅支持两个主流发行版，其他如 Amazon Corretto、GraalVM、Adoptium 等是否跟进，直接影响该功能的实用广度。
2. Kona JDK 的生态接入：随着腾讯 Kona JDK 正式进入 GitHub Actions 官方分发渠道，是否会有更多中国企业级 JDK（如阿里 Dragonwell、华为毕昇）寻求类似集成。
3. Maven 相关修复的兼容性：默认静默日志可能影响依赖下载进度可视化，开发者在互操作场景下需留意 show-download-progress 参数的使用。
