Maven中Netty版本覆盖无效，如何定位管控版本的POM？

问题背景 #

因修复CVE漏洞需升级Netty版本，尝试在POM中通过属性覆盖版本：

<properties>
    <netty.version>4.1.118.Final</netty.version>
</properties>

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-dependencies</artifactId>
            <version>3.4.2</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

但执行mvn -U -Dverbose dependency:tree后，发现Netty版本仍为4.1.117.Final，依赖树显示：

+- (io.netty:netty-common:jar:4.1.117.Final:compile - version managed from 4.1.117.Final; omitted for duplicate)

推测存在其他dependencyManagement节点管控版本，需找出具体来源。

本地Maven版本信息：

$ mvn --version
Apache Maven 3.9.8 (36645f6c9b5079805ea5009217e36f2cffd34256)
Maven home: ~/.sdkman/candidates/maven/current
Java version: 21.0.3, vendor: Oracle Corporation, runtime: ~/.sdkman/candidates/java/21.0.3-graal
Default locale: en_GB, platform encoding: UTF-8
OS name: "linux", version: "6.8.0-53-generic", arch: "amd64", family: "unix"

解决方法 #

1. 用调试日志定位版本来源 #

执行带调试参数的依赖解析命令，日志会详细显示版本管控的POM路径：

mvn -X dependency:resolve-plugins -DincludeGroupIds=io.netty

在输出日志中搜索io.netty相关条目，能找到类似Managed version from <POM坐标>的内容，直接定位到管控版本的POM文件。

2. 通过help插件查看版本详情 #

执行命令查看Netty依赖的详细信息，其中会明确标注管控版本的POM：

mvn help:describe -DgroupId=io.netty -DartifactId=netty-common -Ddetail

输出内容里的Managed Version字段会关联到对应的管控POM。

3. 手动排查继承与导入的BOM链 #

• 检查项目的所有父POM文件，查看dependencyManagement中是否定义了io.netty的版本；
• 确认dependencyManagement中导入的所有BOM（比如除spring-boot-dependencies外的其他BOM），BOM的导入顺序会影响版本优先级，后导入的BOM会覆盖前面的属性定义；
• 若需要强制覆盖，可在自身项目的dependencyManagement中显式定义Netty的依赖版本，其优先级高于导入的BOM：

<dependencyManagement>
    <!-- 先导入Spring Boot BOM -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-dependencies</artifactId>
        <version>3.4.2</version>
        <type>pom</type>
        <scope>import</scope>
    </dependency>
    <!-- 显式定义Netty版本，强制覆盖 -->
    <dependency>
        <groupId>io.netty</groupId>
        <artifactId>netty-common</artifactId>
        <version>4.1.118.Final</version>
    </dependency>
    <!-- 其他Netty模块同理，或用属性统一管控 -->
    <dependency>
        <groupId>io.netty</groupId>
        <artifactId>netty-buffer</artifactId>
        <version>${netty.version}</version>
    </dependency>
</dependencyManagement>

内容的提问来源于stack exchange，提问作者theINtoy