为何mvn dependency:analyze未标记commons-httpclient为未使用依赖

项目中显式声明了以下依赖：

<dependency>
    <groupId>commons-httpclient</groupId>
    <artifactId>commons-httpclient</artifactId>
    <version>3.1</version>
</dependency>

执行mvn dependency:analyze后，该依赖并未出现在[WARNING] Unused declared dependencies found:的警告列表中，因此我认为它被项目引用。但搜索其根包org.apache.commons.httpclient却未找到任何使用痕迹，移除该依赖后项目仍可正常构建运行。另外通过mvn dependency:tree发现该构件存在3.0版本的传递依赖，想请教为何mvn dependency:analyze未将其标记为未使用依赖？

mvn dependency:analyze的判断逻辑基于编译阶段的字节码引用，而非源代码中的直接导入语句，同时会结合依赖的传递性做判定，具体原因可从以下几点解释：

• 传递依赖版本对齐的影响
  你显式声明的3.1版本commons-httpclient，实际是用来覆盖传递依赖的3.0版本。dependency:analyze会识别到这个显式声明是为了统一依赖版本，而非冗余依赖——因为项目中确实存在对该构件的间接依赖（传递依赖），所以不会将其标记为未使用。
• 字节码层面的隐式引用（可能性较低）
  代码可能通过反射、动态类加载等方式使用了该依赖的类，这类引用在源代码搜索中无法直接找到，但编译后的字节码会留下关联痕迹，导致dependency:analyze判定该依赖被使用。不过你移除依赖后项目仍能正常运行，说明这种情况概率不高。
• 插件检测的局限性
  mvn dependency:analyze并非绝对精准，它会忽略一些特殊场景的依赖，比如未标记<scope>test</scope>但仅在测试代码中使用的依赖，或是用于SPI扩展、配置加载的依赖。但结合你的场景，最核心的原因还是传递依赖的版本覆盖逻辑。

内容的提问来源于stack exchange，提问作者Alexandre Tavares