生产环境pom.xml是否需指定依赖版本？未指定时版本存储在哪？

生产环境的pom.xml必须指定依赖版本吗？ #

是的，必须明确指定。生产环境对稳定性要求极高，不指定版本的话，Maven会按照依赖传递规则自动选择版本，不同构建环境可能拉取到不同版本的依赖，很容易引发兼容性问题、功能不一致甚至线上故障。

而且如果依赖的上游库更新了版本（比如引入bug或API变更），项目重新构建时会自动拉取新的不稳定版本，直接威胁生产环境的稳定性。所以生产环境的pom.xml中，所有直接依赖的版本都要明确声明，彻底避免版本漂移问题。

不指定版本时，依赖版本号存在Git仓库的哪个位置？ #

如果没在当前项目的pom.xml里指定依赖版本，通常是通过两种方式统一管理版本：

• 父POM：比如Spring Boot项目常用的spring-boot-starter-parent，如果父POM是你项目仓库的一部分，版本号就存在仓库内的父POM文件中；如果是引入的第三方公共父POM，版本号则在第三方的POM里，不会存到你的Git仓库中。
• dependencyManagement块：版本定义会写在当前项目或父项目的pom.xml的<dependencyManagement>标签内，这个文件如果在你的Git仓库里，版本号就存在这里。

另外，执行mvn install或mvn package后，本地会生成包含最终版本的effective-pom（有效POM），但这个文件是本地构建临时生成的，不会被提交到Git仓库。

内容的提问来源于stack exchange，提问作者Yin and yang