findbugs 注释的正确 Maven 范围是什么？

Question

我想使用具有以下依赖关系的库：

<dependency>
  <groupId>com.google.code.findbugs</groupId>
  <artifactId>annotations</artifactId>
  <version>2.0.3</version>
</dependency>

我读到 FindBugs 是用于 Java 代码的静态分析，所以我认为它没有必要包含在应用程序中。使用<scope>provided</scope> 或<exclusion>...</exclusion> 排除jar 是否安全？

排除它的一个原因是公司政策反对 (L)GPL 许可。

Answer 1

是的，您可以安全地排除此库。它仅包含不需要在运行时出现的注释。不过，请注意让它们可用于 FindBugs 分析。

请注意，您还应该列出 jsr305.jar，如下所示：

<dependency>
    <groupId>com.google.code.findbugs</groupId>
    <artifactId>annotations</artifactId>
    <version>3.0.2</version>
    <scope>provided</scope>
</dependency>
<dependency>
    <groupId>com.google.code.findbugs</groupId>
    <artifactId>jsr305</artifactId>
    <version>3.0.2</version>
    <scope>provided</scope>
</dependency>

需要两个 JAR 才能使这些注释起作用。

检查 Maven Central 中的 most recent findbugs version。

FindBugs 是根据 LGPL 提供的，因此您的公司应该不会有任何问题。此外，您只是使用 FindBugs；你不是在开发从 FindBugs 派生的东西。

Answer 2

理论上，排除 Findbugs 传递依赖项应该是完全安全的（如 OP 的澄清评论中所定义）。如果使用正确，Findbugs 应该只在构建库时使用，而不是使用它。很可能有人忘记将 <scope>test</scope> 添加到 Findbugs 依赖项中。

所以 - 继续尝试排除。运行应用程序。您是否收到类路径错误、与不起作用的库相关的应用程序功能，或者在日志中看到似乎是由于没有 Findbugs 可用的消息？如果答案是肯定的，我个人会重新考虑在我的应用程序中使用这个特定的库，并尝试寻找替代方案。

另外，恭喜您预先进行了类路径检查！作为一般实践，每次在应用程序中包含库时都执行您所做的事情是一个好主意：添加库，然后检查它带来的其他传递依赖项，并在开始时进行任何必要的类路径清理.当我这样做时，我发现它使我的调试会话更短。