安全性已经是一个艰巨的话题，但是令我失望的是，最受欢迎的解决方案是删除安全性签名。JCE需要这些签名。Maven阴影会爆炸BouncyCastle jar文件，该文件会将签名放入META-INF中，但是BouncyCastle签名对于新的uber-jar无效（仅对于BC jar），这就是导致此线程中的Invalid签名错误的原因。
是的，按照@ruhsuzbaykus的建议排除或删除签名确实可以使原始错误消失，但是它也可能导致新的，隐秘的错误：
java.security.NoSuchAlgorithmException: PBEWithSHA256And256BitAES-CBC-BC SecretKeyFactory not available
通过显式指定在何处查找算法，如下所示：
SecretKeyFactory.getInstance("PBEWithSHA256And256BitAES-CBC-BC","BC");
我能够得到一个不同的错误：
java.security.NoSuchProviderException: JCE cannot authenticate the provider BC
JCE无法对提供者进行身份验证，因为我们已经 按照同一线程中其他地方的建议删除了加密签名。
我找到的解决方案是可执行打包程序插件，该插件使用jar-in-jar方法将BouncyCastle签名保留在单个可执行jar中。
更新：
另一种方法（正确的方法？）是使用Maven Jar签名器。这使您可以继续使用Maven阴影而不会出现安全错误。但是，您必须具有代码签名证书（Oracle建议搜索“ Java代码签名证书”）。POM配置如下所示：
<plugin>
<groupId>org.apache.maven.plugins</groupId>
<artifactId>maven-shade-plugin</artifactId>
<version>3.1.0</version>
<executions>
<execution>
<phase>package</phase>
<goals>
<goal>shade</goal>
</goals>
<configuration>
<filters>
<filter>
<artifact>org.bouncycastle:*</artifact>
<excludes>
<exclude>META-INF/*.SF</exclude>
<exclude>META-INF/*.DSA</exclude>
<exclude>META-INF/*.RSA</exclude>
</excludes>
</filter>
</filters>
<transformers>
<transformer implementation="org.apache.maven.plugins.shade.resource.ManifestResourceTransformer">
<mainClass>your.class.here</mainClass>
</transformer>
</transformers>
<shadedArtifactAttached>true</shadedArtifactAttached>
</configuration>
</execution>
</executions>
</plugin>
<plugin>
<groupId>org.apache.maven.plugins</groupId>
<artifactId>maven-jarsigner-plugin</artifactId>
<version>1.4</version>
<executions>
<execution>
<id>sign</id>
<goals>
<goal>sign</goal>
</goals>
</execution>
<execution>
<id>verify</id>
<goals>
<goal>verify</goal>
</goals>
</execution>
</executions>
<configuration>
<keystore>/path/to/myKeystore</keystore>
<alias>myfirstkey</alias>
<storepass>111111</storepass>
<keypass>111111</keypass>
</configuration>
</plugin>
不，没有办法让JCE识别自签名证书，因此，如果需要保留BouncyCastle证书，则必须使用jar-in-jar插件或获取JCE证书。