dependencyManagement不具传递性引发依赖版本漏洞的解决方案咨询

直接给结论： #

• 别选方案1（在P中添加无关的dependencyManagement），维护成本极高，每个依赖A的项目都要重复操作，极易遗漏。
• 方案2（直接在A的dependencies中声明B的新版本）可行，但还有更严谨的优化方式。

具体处理方式： #

1. 最优方案：在项目A中主动声明依赖B的安全版本
   既然A的传递依赖B存在漏洞，直接在A的pom.xml的<dependencies>块中添加B的最新安全版本，可根据实际情况设置<scope>：

<dependencies>
    <!-- 声明安全版本的依赖B，覆盖传递过来的旧版本 -->
    <dependency>
        <groupId>xxx</groupId>
        <artifactId>B</artifactId>
        <version>安全版本号</version>
        <!-- 如果A本身不需要编译时依赖B，仅运行时用到，可添加runtime范围 -->
        <scope>runtime</scope>
    </dependency>
</dependencies>

这种方式下，项目P依赖A时，Maven会优先使用A中直接声明的B版本，完全覆盖传递过来的旧漏洞版本，下游项目无需做任何额外配置。

2. 如果A是多模块项目：结合父项目dependencyManagement+子模块直接声明
   若A是多模块项目，父项目的dependencyManagement可统一管理版本，然后在A的核心模块（被P依赖的模块）的<dependencies>中引入B（版本继承父项目配置）：

<!-- 父项目pom.xml的dependencyManagement -->
<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>xxx</groupId>
            <artifactId>B</artifactId>
            <version>安全版本号</version>
        </dependency>
    </dependencies>
</dependencyManagement>

<!-- A项目核心模块的pom.xml -->
<dependencies>
    <dependency>
        <groupId>xxx</groupId>
        <artifactId>B</artifactId>
        <!-- 版本继承父项目的dependencyManagement -->
        <scope>runtime</scope>
    </dependency>
</dependencies>

这种方式既保证了A内部版本统一，又能让下游项目P自动继承到安全版本的B。

为什么否定方案1？ #

每个依赖A的项目都要手动添加dependencyManagement，完全不符合“一处配置，处处生效”的原则，后续新增依赖A的项目时，很容易忘记操作导致漏洞重现，维护成本太高。

内容的提问来源于stack exchange，提问作者JF Meier