Spring Dependency-Management插件导入Maven BOM未同步至Gradle模块文件

问题描述 #

我有一个库项目A，使用Spring Dependency-Management插件导入gRPC和Protobuf的BOM，配置如下：

dependencyManagement {
    imports {
        mavenBom("io.grpc:grpc-bom:$grpcBomVersion")
        mavenBom("com.google.protobuf:protobuf-bom:$protobufBomVersion")
    }
}

项目A生成的POM文件正常，但Gradle生成的.module元数据文件中缺少BOM的依赖配置片段：

"dependencies": [
    {
      "group": "io.grpc",
      "module": "grpc-bom",
      "version": {
        "requires": "1.58.0"
      },
      "attributes": {
        "org.gradle.category": "platform"
      },
      "endorseStrictVersions": true
    },
    {
      "group": "com.google.protobuf",
      "module": "protobuf-bom",
      "version": {
        "requires": "3.24.0"
      },
      "attributes": {
        "org.gradle.category": "platform"
      },
      "endorseStrictVersions": true
    }
]

这导致依赖项目A的项目B必须手动添加BOM依赖才能正常使用版本管控：

implementation(platform("io.grpc:grpc-bom:$grpcBomVersion")) 
implementation(platform("com.google.protobuf:protobuf-bom:$protobufBomVersion"))

如果直接在项目A中用implementation(platform(...))引入BOM，.module文件会包含上述配置，项目B无需手动添加，但这种方式会引入重复的传递依赖，需要手动排除；而使用Spring Dependency-Management插件导入BOM可以避免传递依赖重复，因此需要解决插件导入BOM不写入Gradle .module文件的问题。

问题分析 #

Spring Dependency-Management插件的设计对齐了Maven的dependencyManagement机制，仅负责版本管控，不会将导入的BOM作为传递依赖暴露给Gradle的模块元数据（即.module文件）。而直接使用implementation(platform(...))会让Gradle将BOM识别为传递性平台依赖，因此会写入元数据，但同时会引入BOM中声明的所有传递依赖，导致重复问题。

解决方案 #

我们可以结合Spring Dependency-Management插件的版本管控能力，同时通过Gradle的依赖配置将BOM以无传递依赖的方式加入到API依赖中，这样既不会引入重复传递依赖，又能让.module文件包含BOM的平台依赖配置。

修改项目A的配置如下：

// 保留Spring Dependency-Management插件的BOM导入，负责版本管控
dependencyManagement {
    imports {
        mavenBom("io.grpc:grpc-bom:$grpcBomVersion")
        mavenBom("com.google.protobuf:protobuf-bom:$protobufBomVersion")
    }
}

dependencies {
    // 将BOM作为API依赖添加，但禁用传递依赖，避免引入不必要的传递依赖
    api(platform("io.grpc:grpc-bom:$grpcBomVersion")) {
        transitive = false
    }
    api(platform("com.google.protobuf:protobuf-bom:$protobufBomVersion")) {
        transitive = false
    }
}

这样配置后：

1. Spring Dependency-Management插件依然会管控所有依赖的版本，避免版本冲突；
2. api(platform(...))配合transitive=false会让Gradle将BOM写入.module元数据文件，项目B依赖A时会自动继承BOM的版本管控；
3. transitive=false确保不会引入BOM中的传递依赖，避免重复依赖问题。

另外，如果你的项目使用Gradle 7.0+版本，也可以直接使用Gradle原生的依赖管理机制替代Spring Dependency-Management插件，同样能实现需求：

dependencies {
    // 导入BOM作为平台依赖，禁用传递依赖
    api(platform("io.grpc:grpc-bom:$grpcBomVersion")) {
        transitive = false
    }
    api(platform("com.google.protobuf:protobuf-bom:$protobufBomVersion")) {
        transitive = false
    }

    // 其他依赖无需指定版本，会自动继承BOM中的版本
    implementation("io.grpc:grpc-netty-shaded")
    implementation("com.google.protobuf:protobuf-java")
}

内容的提问来源于stack exchange，提问作者Alexandra Zverkovich