如何区分Jar包中的自有类文件与依赖类文件？

以下是几种实用的方法，帮你精准区分Jar包中的自有类和混入的依赖类：

• 利用Maven构件的POM文件验证
  每个Maven构件在中央仓库都对应一份POM文件，其中明确了自身的坐标（groupId/artifactId/version）和依赖列表。通过构件坐标找到对应POM后：

  • 把Jar包中类的包路径，和POM里<dependencies>节点下的依赖坐标做对比：如果类的包前缀和某个依赖的groupId完全匹配，基本可以判定是依赖类；
  • 像org.apache.sling:org.apache.sling.xss:2.0.0这类artifactId本身带完整包路径的构件，其自有类通常会和artifactId的包前缀一致，剩下的类则对应POM里声明的依赖。

• 分析Jar包的MANIFEST.MF文件
  打开Jar包内的META-INF/MANIFEST.MF，里面的Implementation-Vendor、Implementation-Title等字段通常指向Jar包所属的项目或组织。如果类的包路径和这些字段的标识匹配，更可能是自有类；反之则大概率是依赖类。

• 通过包路径分布和频率判断
  用jar tf <你的Jar包路径>命令列出所有类文件，观察包路径的分布：

  • 自有类的包路径通常高度集中，一般围绕1-2个核心包展开；而依赖类的包路径会分散对应不同的第三方库（比如com.google.common、org.apache.commons这类常见第三方包）；
  • 统计包路径的出现次数，高频且和构件坐标相关的包路径，基本就是自有类的范围。

• 对比官方发布的不同构件版本
  不少开源项目会同时发布纯净版Jar包和包含所有依赖的fat jar（通常带jar-with-dependencies后缀）。下载对应版本的两种构件，对比类文件差异，就能快速筛选出自有类。

内容的提问来源于stack exchange，提问作者cpl