为什么我的 war 文件包含不在我的树中的依赖项？

Question

我有一个使用 maven 构建的应用程序。

首先，我运行mvn clean。

然后，在我构建它之后，我发现我得到了 jackson-databind jar 的 2 个副本：

ls target/ROOT/WEB-INF/lib | grep jackson
jackson-annotations-2.8.9.jar
jackson-core-2.8.9.jar
jackson-databind-2.4.4.jar
jackson-databind-2.8.9.jar

但是，当我跑步时

mvn dependency:tree

我只看到参考

com.fasterxml.jackson.core:jackson-databind:jar:2.8.9:compile

即使我运行 mvn dependency:tree -Dverbose=true，树中也没有 2.4.4 的迹象

什么给了？我是否误解了报告，因为我们显然出于某些原因引入了 2.4.4？

换一种说法（为了不那么宽泛），maven 怎么能拉入一个没有在依赖树中列出的依赖？

Answer 1

流氓文件的来源是 WAR 依赖，而不是 JAR 依赖。

我不相信这些在树上是可见的，因为它们本身并没有“解决”......它们只是被复制了。

在做

find target/ -name jackson-databind-\*.jar

全部列出。它们出现在target/war/work 目录中，该目录为您提供了指向它们来自何处的指针。

排除它们需要在maven-war-plugin的配置中完成：

<configuration>                                                           
    <overlays>                                                            
        <overlay>                                                         
            <groupId>com.group</groupId>                                 
            <artifactId>artifact-you-depend-on</artifactId>                 
            <excludes>                                                    
                <exclude>WEB-INF/lib/jackson-databind-2.4.4.jar</exclude> 
            </excludes>                                                   
        </overlay>                                                        
    </overlays>                                                           
</configuration>