如何让Gradle采用类似Maven的“就近优先”依赖解析策略？

我负责一批Gradle构建的项目，仅在构建失败或出现高危CVE时才进行版本升级，导致项目中存在大量未触发冲突的不兼容版本，加上内部依赖树较深，全面修复难度极大。

在某项目中，我显式指定了Log4j API的版本，但Log4j API频繁破坏二进制兼容性，遇到了2.17与2.18版本的兼容问题。由于某个传递依赖要求2.18版本，Gradle默认策略忽略了我显式指定的版本。

我希望切换为就近最高版本策略：始终遵循项目显式指定的版本，或选择相同依赖层级中的最高版本。

目前只能通过冗长的force方式实现：

allprojects {
    // Log4j breaks binary compatibility even in the API, so we need to intervene.
    // Replacing Log4j is highly recommended!
    configurations.configureEach {
        resolutionStrategy {
            force 'org.apache.logging.log4j:log4j-api:2.17.2'
        }
    }
}

我的场景属于版本降级，也可以用strict方式，但这会限制生成构件的消费者——我希望允许他们在运行时对齐到2.18版本，不想做限制。

请问是否存在Gradle插件可为ResolutionStrategy添加更多选项？例如支持以下写法：

resolutionStrategy {
    useNearestHighest()
}

Gradle原生没有提供useNearestHighest()这类内置解析策略，但可以通过以下方式实现需求：

自定义依赖解析规则 #

无需第三方插件，直接通过Gradle的eachDependency规则自定义逻辑，优先保留项目显式声明的版本，同层级选择最高版本：

allprojects {
    configurations.configureEach {
        resolutionStrategy.eachDependency { details ->
            def requested = details.requested
            // 针对Log4j API做规则适配，可扩展到其他依赖
            if (requested.group == 'org.apache.logging.log4j' && requested.name == 'log4j-api') {
                // 优先使用项目显式声明的版本
                def declaredDep = project.dependencies.find {
                    it.group == requested.group && it.name == requested.name
                }
                if (declaredDep?.version) {
                    details.useVersion declaredDep.version
                } else {
                    // 同层级依赖中选择最高版本
                    def highestCandidate = details.candidates.max { it.version }
                    details.useVersion highestCandidate.version
                }
            }
        }
    }
}

这种方式既满足“就近最高版本”的需求，又不会限制消费者在运行时升级版本，比force或strict更灵活。

第三方插件参考 #

社区插件中没有完全匹配该策略的，但部分插件可辅助版本管控：

• nebula.dependency-recommender：支持集中定义版本规则，可强制推荐指定版本，但需要额外配置版本映射，并非层级优先逻辑。
• io.spring.dependency-management：Spring生态的依赖管理插件，擅长统一版本对齐，适合整体版本管控场景。

如果需要严格贴合“就近最高版本”的逻辑，自定义解析规则是最优方案。

内容的提问来源于stack exchange，提问作者Ondra Žižka