如何自动排查Gradle中被Spring BOM管理却手动指定版本的依赖

要自动化检测这类依赖，最直接的方式是编写自定义Gradle任务，对比BOM中管理的依赖与项目里手动指定版本的依赖，下面是具体实现方案：

自定义Gradle检测任务 #

在项目根目录的build.gradle（Groovy版本）中添加以下任务：

tasks.register('checkManagedVersions') {
    doLast {
        // 提取所有通过BOM导入的依赖版本映射（格式：group:name -> version）
        def managedDependencies = project.dependencyManagement.importedProperties
            .findAll { it.key.startsWith('version.') }
            .collectEntries { entry ->
                def dependencyId = entry.key.replace('version.', '')
                [dependencyId, entry.value]
            }

        // 遍历所有配置下的依赖，检查是否存在冲突
        project.configurations.each { configuration ->
            configuration.allDependencies.each { dependency ->
                // 只检查手动指定了版本的依赖
                if (dependency.version != null) {
                    def dependencyKey = "${dependency.group}:${dependency.name}"
                    if (managedDependencies.containsKey(dependencyKey)) {
                        println "⚠️ 检测到冗余版本声明：${dependencyKey}"
                        println "  - 手动指定版本：${dependency.version}"
                        println "  - BOM管理版本：${managedDependencies[dependencyKey]}"
                        println "----------------------------------------"
                    }
                }
            }
        }
    }
}

使用方式 #

在终端执行以下命令，即可输出所有被BOM管理但手动声明了版本的依赖：

./gradlew checkManagedVersions

补充说明 #

• 该任务基于Spring Dependency Management插件的importedProperties属性，会自动捕获所有通过importBom导入的依赖版本，包括Spring Boot Dependencies、Spring Cloud Dependencies等。
• 如果使用Kotlin DSL，只需将Groovy代码转换为对应的Kotlin语法即可，核心逻辑完全一致。
• 若需要忽略特定配置（如testImplementation），可以在遍历configurations时添加过滤条件，比如configurations.findAll { !it.name.contains('test') }。

快速验证单个依赖 #

如果需要针对某个依赖快速确认是否被BOM管理，可以使用Gradle内置的dependencyInsight任务：

./gradlew dependencyInsight --dependency com.fasterxml.jackson.core:jackson-databind

查看输出中的Constraint部分，如果显示来自BOM，说明该依赖版本已被管理，无需手动声明。

内容的提问来源于stack exchange，提问作者sge