如何验证核心库变更是否破坏依赖的Spring Boot应用？

完全可以通过GitHub Actions实现核心库PR触发下游应用编译验证的需求，且不会改动遗留系统的代码。以下是具体实现步骤：

1. 核心仓库配置Workflow：触发PR时构建快照并通知下游应用 #

在核心库仓库的.github/workflows目录下创建validate-pr-impact.yml，实现以下逻辑：

• 当PR提交到主分支时，自动构建核心库的快照版本
• 将快照版本信息传递给4个应用仓库，触发它们的编译验证Workflow

示例配置（以Maven项目为例）：

name: Validate PR Impact on Dependent Apps
on:
  pull_request:
    branches: [ main ]

jobs:
  build-core-snapshot:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Set up JDK
        uses: actions/setup-java@v4
        with:
          java-version: '17' # 匹配核心库的JDK版本
          distribution: 'temurin'
      - name: Build core snapshot
        run: mvn clean install -DskipTests # 把快照安装到Runner本地仓库，或发布到GitHub Packages
      - name: Extract snapshot version
        id: core-version
        run: echo "VERSION=$(mvn help:evaluate -Dexpression=project.version -q -DforceStdout)" >> $GITHUB_OUTPUT
      # 触发每个应用仓库的编译验证
      - name: Trigger App 1 validation
        uses: peter-evans/repository-dispatch@v3
        with:
          token: ${{ secrets.APP_TRIGGER_TOKEN }} # 拥有repo权限的PAT，存在核心仓库Secrets中
          repository: your-org/app-repo-1
          event-type: core-pr-validation
          client-payload: '{"core-version": "${{ steps.core-version.outputs.VERSION }}"}'
      - name: Trigger App 2 validation
        uses: peter-evans/repository-dispatch@v3
        with:
          token: ${{ secrets.APP_TRIGGER_TOKEN }}
          repository: your-org/app-repo-2
          event-type: core-pr-validation
          client-payload: '{"core-version": "${{ steps.core-version.outputs.VERSION }}"}'
      # 重复上述步骤触发另外两个应用的验证

2. 应用仓库配置Workflow：接收触发并临时验证核心库快照 #

在每个应用仓库的.github/workflows目录下创建validate-core-change.yml，实现以下逻辑：

• 接收核心仓库的触发事件，临时替换核心库依赖版本为PR快照
• 执行编译操作验证兼容性，所有修改仅在Runner运行时生效，不会提交到仓库（完全满足遗留系统不更新的要求）

示例配置（Maven项目）：

name: Validate Core Library Compatibility
on:
  repository_dispatch:
    types: [core-pr-validation]

jobs:
  compile-app:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Set up JDK
        uses: actions/setup-java@v4
        with:
          java-version: '17' # 匹配应用的JDK版本
          distribution: 'temurin'
      - name: Temporarily update core dependency version
        run: |
          # 修改pom.xml中核心库的版本为PR快照
          mvn versions:set -DnewVersion=${{ github.event.client-payload.core-version }} \
            -DgroupId=com.your-org.core \
            -DartifactId=core-library
      - name: Compile application
        run: mvn clean compile # 仅执行编译，不运行测试（如需测试可添加相关命令）

3. 关键注意事项 #

• 权限配置：生成一个带有repo权限的Personal Access Token（PAT），存储在核心仓库的GitHub Secrets中（命名为APP_TRIGGER_TOKEN），用于触发下游应用的Workflow。
• 遗留系统适配：上述配置中对依赖版本的修改是临时的，仅在GitHub Actions Runner的运行环境中生效，不会改动仓库内的代码，完全符合“无意更新遗留系统”的要求。
• 结果反馈：如果需要在核心库的PR页面直接看到下游应用的验证结果，可以在核心仓库的Workflow中添加等待下游检查的步骤，将应用编译的成功/失败状态同步到PR中。
• Gradle项目调整：如果应用使用Gradle，修改依赖版本的命令需要替换为Gradle对应的逻辑，例如通过脚本修改build.gradle中的版本号，或使用dependencyUpdates插件。

内容的提问来源于stack exchange，提问作者Lucas T Cerveira