如何处理既是直接依赖又是传递依赖的Maven依赖？

针对你的Maven依赖版本同步问题，有几个实用的通用方案可以解决：

方案一：简化依赖声明，让传递依赖主导dep-b版本 #

这是最省心的方案，也符合Maven依赖管理规范：

• 保留对dep-a的直接依赖并指定版本，对dep-b的直接依赖不指定版本，让dep-a的传递依赖版本自动生效。
• 这样当dep-a更新时，dep-b的版本会自动同步为dep-a声明的兼容版本，完全避免版本不匹配。

示例pom配置：

<dependencies>
    <dependency>
        <groupId>your.group.id</groupId>
        <artifactId>dep-a</artifactId>
        <version>x.y.z</version> <!-- 由Dependabot维护更新 -->
    </dependency>
    <dependency>
        <groupId>your.group.id</groupId>
        <artifactId>dep-b</artifactId>
        <!-- 版本由dep-a的传递依赖自动继承，确保兼容性 -->
    </dependency>
</dependencies>

同时调整Dependabot配置，只针对dep-a创建更新PR，避免它单独更新dep-b。

方案二：用dependencyManagement锁定版本，结合自动化同步 #

如果坚持要明确声明dep-b的版本，可以通过dependencyManagement锁定，并配合简单脚本实现同步：

1. 在dependencyManagement中同时声明dep-a和dep-b的版本，确保dep-b版本与dep-a依赖的版本一致。
2. 配置Dependabot仅更新dep-a的版本，然后添加一个自动化脚本（比如在CI或Dependabot的post-update钩子中）：
   • 运行mvn dependency:tree -Dincludes=your.group.id:dep-b获取当前dep-a依赖的dep-b版本。
   • 自动更新dependencyManagement中dep-b的版本号。

示例pom配置：

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>your.group.id</groupId>
            <artifactId>dep-a</artifactId>
            <version>x.y.z</version>
        </dependency>
        <dependency>
            <groupId>your.group.id</groupId>
            <artifactId>dep-b</artifactId>
            <version>a.b.c</version> <!-- 与dep-a依赖的版本保持一致 -->
        </dependency>
    </dependencies>
</dependencyManagement>

<dependencies>
    <dependency>
        <groupId>your.group.id</groupId>
        <artifactId>dep-a</artifactId>
    </dependency>
    <dependency>
        <groupId>your.group.id</groupId>
        <artifactId>dep-b</artifactId>
    </dependency>
</dependencies>

方案三：用Maven Versions插件批量同步版本 #

利用Maven Versions插件的目标实现半自动化更新：

• 运行mvn versions:use-latest-releases -Dincludes=your.group.id:dep-a自动将dep-a更新到最新版本。
• 运行mvn dependency:tree -Dincludes=your.group.id:dep-b获取dep-a依赖的dep-b版本。
• 运行mvn versions:set -DnewVersion=a.b.c -Dincludes=your.group.id:dep-b更新dep-b的版本。
• 将这三个命令封装成脚本，定期在CI中执行，或者配合Dependabot的触发事件自动运行。

内容的提问来源于stack exchange，提问作者jqno