Maven中dependencyManagement与dependencies版本的程序化区分方法

不管两处版本值是否相同，核心是追踪版本的配置来源节点，而非版本值本身。以下是两种可靠的实现方案：

方案1：直接解析POM原始模型，按配置节点区分 #

Maven的org.apache.maven.model包提供了POM模型的直接解析能力，你可以分别读取dependencyManagement和dependencies两个节点的原始配置，即使版本值一致，也能通过节点归属明确区分：

import org.apache.maven.model.Model;
import org.apache.maven.model.Dependency;
import org.apache.maven.model.building.DefaultModelBuilder;
import org.apache.maven.model.building.DefaultModelBuilderFactory;
import org.apache.maven.model.building.DefaultModelBuildingRequest;
import org.apache.maven.model.building.ModelBuildingRequest;
import java.io.File;

public class PomVersionTracker {
    public static void main(String[] args) throws Exception {
        // 初始化ModelBuilder
        DefaultModelBuilder modelBuilder = new DefaultModelBuilderFactory().newInstance();
        ModelBuildingRequest buildRequest = new DefaultModelBuildingRequest()
                .setPomFile(new File("pom.xml"))
                .setValidationLevel(ModelBuildingRequest.VALIDATION_LEVEL_MINIMAL);

        // 解析得到完整POM模型
        Model pomModel = modelBuilder.build(buildRequest).getEffectiveModel();

        // 遍历dependencyManagement中的所有依赖配置
        System.out.println("=== 来自dependencyManagement的版本配置 ===");
        for (Dependency dmDep : pomModel.getDependencyManagement().getDependencies()) {
            System.out.printf("依赖：%s:%s，版本：%s%n",
                    dmDep.getGroupId(), dmDep.getArtifactId(), dmDep.getVersion());
        }

        // 遍历dependencies中的所有依赖配置
        System.out.println("\n=== 来自dependencies的版本配置 ===");
        for (Dependency dep : pomModel.getDependencies()) {
            String versionSource = dep.getVersion() != null ? "直接声明" : "继承自dependencyManagement";
            String displayVersion = dep.getVersion() != null ? dep.getVersion() : "（未显式声明，使用dependencyManagement版本）";
            System.out.printf("依赖：%s:%s，版本：%s（来源：%s）%n",
                    dep.getGroupId(), dep.getArtifactId(), displayVersion, versionSource);
        }
    }
}

关键逻辑 #

• 如果dependencies中的依赖显式写了版本，哪怕和dependencyManagement的值完全相同，也属于直接配置的版本
• 如果dependencies中没有写版本，版本必然来自dependencyManagement（或父POM的dependencyManagement）

方案2：通过依赖解析溯源信息区分 #

如果需要结合依赖解析的实际生效结果，可以使用Maven的Aether组件，从解析结果中追踪版本的来源：

import org.apache.maven.repository.internal.MavenRepositorySystemUtils;
import org.eclipse.aether.RepositorySystem;
import org.eclipse.aether.RepositorySystemSession;
import org.eclipse.aether.artifact.DefaultArtifact;
import org.eclipse.aether.resolution.ArtifactRequest;
import org.eclipse.aether.resolution.ArtifactResult;
import org.eclipse.aether.repository.RemoteRepository;
import java.util.Collections;

public class DependencySourceChecker {
    public static void main(String[] args) throws Exception {
        RepositorySystem repoSystem = MavenRepositorySystemUtils.newRepositorySystem();
        RepositorySystemSession session = MavenRepositorySystemUtils.newSession();

        // 配置远程仓库
        RemoteRepository centralRepo = new RemoteRepository.Builder("central", "default", "https://repo1.maven.org/maven2/").build();

        // 针对目标依赖发起解析请求
        ArtifactRequest request = new ArtifactRequest()
                .setArtifact(new DefaultArtifact("org.apache.commons:commons-lang3:3.12.0"))
                .setRepositories(Collections.singletonList(centralRepo));

        ArtifactResult resolveResult = repoSystem.resolveArtifact(session, request);
        // 核心判断逻辑：对比项目POM的原始配置
        // 若dependencies中该依赖有显式版本，则为直接配置；否则来自dependencyManagement
        // 可结合方案1的POM模型解析结果完成精确判断
    }
}

适用场景 #

适合已完成依赖解析的场景，通过将解析结果与POM原始配置对比，明确版本的实际来源。

核心注意事项 #

• 显式声明优先级：Maven中dependencies的显式版本配置永远优先于dependencyManagement，即使两者版本值相同
• 继承场景处理：如果是子POM继承父POM的dependencyManagement，子POMdependencies中未声明版本的依赖，版本来源为父POM的dependencyManagement
• 原始配置是关键：区分的核心是配置所在的节点，而非版本值，因此必须保留POM的原始结构信息，不能只看最终生效的版本

内容的提问来源于stack exchange，提问作者Azodious