如何获取指定依赖的全部可用版本？（解决Artifactory API局限）

核心实现逻辑 #

Versions Maven Plugin能获取全量依赖版本，核心是直接对接Maven仓库的标准元数据文件，而非依赖本地或Artifactory的缓存数据：

• 它会遵循你Maven配置的仓库优先级（比如settings.xml里<repositories>的定义顺序），依次访问每个仓库中对应依赖的maven-metadata.xml文件。这个文件是Maven仓库的通用元数据载体，记录了该依赖所有已发布的版本号。
• 举个实际例子，针对com.google.guava:guava，插件会请求类似https://repo1.maven.org/maven2/com/google/guava/guava/maven-metadata.xml的地址，解析其中<versioning><versions>节点下的内容，提取所有版本号。

关键组件与执行流程 #

• VersionRetriever核心类：这是插件内部负责版本获取的核心组件，它会发起HTTP请求拉取元数据文件，处理仓库的认证逻辑（如果配置了私有仓库），并解析XML内容提取完整版本列表。
• 版本过滤规则：拿到全量版本后，插件会根据预设或自定义规则过滤版本——比如versions:use-latest-releases会自动排除快照版本，只保留正式发布版，这也是这类目标能精准定位最新稳定版的原因。
• 仓库优先级处理：如果多个仓库存在同一依赖的元数据，插件会优先采用优先级更高的仓库数据，避免版本信息冲突。

复用该机制的实用方法 #

如果你想直接利用这个能力生成未被拦截的版本列表，有两种方式：

1. 直接用插件目标导出版本：执行versions:display-dependency-updates目标，配合参数限定目标依赖，将所有可用版本导出到文件。示例命令：

   mvn versions:display-dependency-updates -DoutputFile=available-versions.txt -DincludeGroupIds=com.google.guava -DincludeArtifactIds=guava
   

   执行后，available-versions.txt会包含guava的所有可用版本（包括未被Artifactory缓存的），你可以从中筛选未被Xray拦截的版本。
2. 集成插件核心类到自定义工具：如果需要将这个能力嵌入自己的系统，可以引入Versions Maven Plugin的依赖，直接调用org.codehaus.mojo.versions.api.VersionRetriever类，传入仓库配置和依赖坐标，就能获取全量版本列表。

注意事项 #

• 私有仓库认证：如果你的Maven配置里包含需要认证的私有仓库，插件会自动读取settings.xml中的认证信息，无需额外配置。
• 网络与缓存：首次请求远程仓库元数据可能会有延迟，但后续插件会将元数据缓存到本地~/.m2/repository的对应依赖目录下，提升后续查询速度。

内容的提问来源于stack exchange，提问作者JF Meier