Gradle java-library插件类路径泄漏问题求助

核心问题本质 #

你遇到的矛盾点源于Gradle插件的依赖传递逻辑和普通Java库的差异：普通java-library项目的implementation依赖确实不会泄漏到消费者编译类路径，但Gradle插件项目的implementation依赖默认会被带入到应用该插件的目标项目中——因为插件的运行时依赖会被Gradle自动传递给插件所作用的项目类路径，这就导致OpenFeign 4.1.0的传递依赖（Spring Boot 3.2.0）被引入到了你的多模块项目中，即便版本协调到3.2.2，旧版本JAR仍可能因依赖树残留出现在类路径里。

可行解决方案 #

1. 将插件的业务依赖改为compileOnly

如果你的my-api插件仅在编译阶段需要OpenFeign的API（比如用于生成配置或代码逻辑），不需要在插件运行时依赖它，直接把implementation替换为compileOnly，这样插件编译时能获取依赖，但不会传递给应用插件的项目：

// my-api插件的build.gradle
dependencies {
    compileOnly 'org.springframework.cloud:spring-cloud-starter-openfeign:4.1.0'
}

2. 显式排除OpenFeign中的Spring Boot传递依赖

如果必须保留implementation依赖，直接在插件中排除OpenFeign携带的Spring Boot相关传递依赖，让目标项目自行管理Spring Boot版本：

// my-api插件的build.gradle
dependencies {
    implementation('org.springframework.cloud:spring-cloud-starter-openfeign:4.1.0') {
        exclude group: 'org.springframework.boot', module: 'spring-boot-starter'
        exclude group: 'org.springframework.boot', module: 'spring-boot-starter-web'
        // 按需排除其他Spring Boot相关传递依赖
    }
}

3. 启用依赖锁定强制统一版本

在多模块项目的根build.gradle中启用依赖锁定，强制所有模块使用指定的Spring Boot版本，彻底避免旧版本残留：

// 根项目build.gradle
dependencyLocking {
    lockAllConfigurations()
}

// 同时在根项目中统一管理Spring Boot版本
plugins {
    id 'org.springframework.boot' version '3.2.2' apply false
    id 'io.spring.dependency-management' version '1.1.4' apply false
}

subprojects {
    apply plugin: 'io.spring.dependency-management'
    dependencyManagement {
        imports {
            mavenBom org.springframework.boot.gradle.plugin.SpringBootPlugin.BOM_COORDINATES
        }
    }
}

执行./gradlew dependencies --write-locks生成依赖锁定文件，后续构建会严格遵循锁定的版本。

4. 拆分插件与业务依赖库

把插件中需要暴露给目标项目的业务逻辑拆分为单独的java-library模块（比如my-api-core），让这个模块遵循java-library的api/implementation隔离规则；然后my-api插件仅负责引入这个核心库模块，不直接引入OpenFeign等业务依赖：

// my-api插件的build.gradle
dependencies {
    implementation project(':my-api-core')
}

// my-api-core模块的build.gradle（标准java-library）
dependencies {
    api 'org.springframework.cloud:spring-cloud-starter-openfeign:4.1.0'
    // 其他需要暴露给消费者的依赖用api，无需暴露的用implementation
}

验证步骤 #

修改插件配置后重新发布到内部仓库，在多模块项目中执行：

./gradlew clean build --refresh-dependencies

再通过./gradlew dependencies查看类路径，确认Spring Boot 3.2.0版本的JAR已被移除。

内容的提问来源于stack exchange，提问作者Quinteger