Maven 传递依赖 - Commons Collection 版本 3 与 4

Question

我在pom.xml有这样的配置：

    <dependency>
        <groupId>commons-beanutils</groupId>
        <artifactId>commons-beanutils</artifactId>
        <version>1.9.4</version>
    </dependency>
    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-collections4</artifactId>
        <version>4.4</version>
    </dependency>

但不幸的是，mvn dependency:tree 告诉我commons-beanutils 具有依赖关系：commons-collections 3.x：

[INFO] +- commons-beanutils:commons-beanutils:jar:1.9.4:compile
[INFO] |  \- commons-collections:commons-collections:jar:3.2.2:compile
[INFO] +- org.apache.commons:commons-collections4:jar:4.4:compile

我不想在我的代码中使用Common Collection 3，但可能有人错误地使用了这个库中的一个类（而不是Common Collective 4，这是首选版本）。

正如您在依赖关系树中看到的那样 - 我不能排除 Common Collection 3，因为它已被使用（可能出现在 java.lang.NoClassDefFoundError）。

问题：

如何保护我的代码库免受 Commons Collection 3 API 的污染？

Answer 1

您可以使用dependency:analyze-only

https://maven.apache.org/plugins/maven-dependency-plugin/analyze-only-mojo.html

检查您是否使用未声明的依赖项，即您使用传递依赖项而没有显式声明它。

如果您不希望在您的构建中使用它，只是偶尔检查一下，您可以在命令行中使用dependency:analyze。