为何Maven执意下载已排除的传递依赖com.atlassian.platform:third-party？

问题分析与解决 #

核心原因：依赖排除不影响POM元数据的解析 #

你配置的<exclusion>仅能排除会被引入到项目classpath的传递依赖JAR包，但Maven下载com.atlassian.platform:third-party的POM，并不是因为它是传递依赖，而是因为：

• 你的直接依赖com.atlassian.bamboo:atlassian-bamboo-api:9.2.8大概率继承了这个third-party的POM作为父POM，或者在它的<dependencyManagement>块中引用了该POM的元数据。Maven必须下载这些父POM/依赖管理POM，才能完整解析bamboo-api的依赖配置、版本规则等核心信息。
• 这类纯POM类型的依赖（packaging为pom），如果没有被作为直接/传递依赖引入到classpath，默认不会出现在dependency:tree的输出里，但Maven在构建流程中会自动下载它们用于元数据解析。

为什么Nexus阻断后会报错？ #

当你通过Nexus路由阻断该POM的6.0.29版本后，Maven在解析bamboo-api的POM时，无法获取到它依赖的third-party父POM，自然会抛出“无法解析POM”的错误——这和你是否排除该依赖无关，因为父POM的引用是POM结构的一部分，不属于可被排除的传递依赖范畴。

解决方案 #

1. 定位引用来源：执行mvn help:effective-pom查看最终生效的POM，搜索com.atlassian.platform:third-party，确认它是作为父POM还是依赖管理被引入的。
2. 用dependencyManagement锁定版本：如果必须保留这个POM的引用，在项目的<dependencyManagement>块中明确指定该POM的允许版本，替代Maven自动选择的版本：

   <dependencyManagement>
     <dependencies>
       <dependency>
         <groupId>com.atlassian.platform</groupId>
         <artifactId>third-party</artifactId>
         <version>你允许的版本号</version>
         <type>pom</type>
         <scope>import</scope> <!-- 如果是作为依赖管理引入 -->
         <!-- 若为父POM，直接在项目的parent节点指定对应版本 -->
       </dependency>
     </dependencies>
   </dependencyManagement>
   

3. 调整Nexus规则：配合dependencyManagement的版本锁定，在Nexus中只允许该指定版本的POM通过，阻断其他版本，避免Maven自动下载不符合要求的版本。

内容的提问来源于stack exchange，提问作者Gabriel C