如何在企业级环境中阻止指定Maven依赖下载并终止构建？

1. 企业级Maven仓库代理拦截（最核心方案） #

• 部署Nexus、Artifactory这类企业级仓库代理，配置依赖黑名单规则：
  • 针对需要完全禁止的库，直接拦截其groupId:artifactId的所有版本请求；针对旧版本，通过版本范围（如[0.0.1,2.0.0)）拦截指定区间的版本。
  • 当开发者构建请求被拦截的依赖时，仓库直接返回403错误，Maven构建会因无法获取依赖直接失败，拦截时机最早（下载阶段）。
• 配合网络策略（防火墙/代理），禁止开发者直接访问外部中央仓库，强制所有依赖请求走企业代理仓库，从网络层面确保拦截生效。

2. 全局Maven配置强制生效 #

• 企业统一分发settings.xml，配置mirrorOf=*指向企业代理仓库，同时通过pluginManagement全局配置maven-enforcer-plugin的依赖禁止规则：

  <pluginManagement>
    <plugins>
      <plugin>
        <groupId>org.apache.maven.plugins</groupId>
        <artifactId>maven-enforcer-plugin</artifactId>
        <version>3.4.1</version>
        <executions>
          <execution>
            <id>enforce-banned-dependencies</id>
            <goals>
              <goal>enforce</goal>
            </goals>
            <configuration>
              <rules>
                <banDependencies>
                  <excludes>
                    <exclude>com.example:bad-lib:*</exclude>
                    <exclude>com.example:old-lib:[0.0.1,2.0.0)</exclude>
                  </excludes>
                </banDependencies>
              </rules>
              <fail>true</fail>
            </configuration>
          </execution>
        </executions>
      </plugin>
    </plugins>
  </pluginManagement>
  

• 通过运维手段确保开发者本地Maven使用该全局配置（如替换Maven安装目录下的默认settings，或IDE强制绑定企业settings文件），无需开发者手动配置插件。

3. 自定义Maven前置拦截插件 #

• 开发企业内部的Maven插件，绑定到validate生命周期阶段（构建最早阶段），扫描项目完整依赖树（包括传递依赖）：
  • 插件内置企业的依赖黑名单，一旦检测到违规依赖，直接抛出MavenExecutionException终止构建。
• 将该插件配置到企业统一的父POM中，强制所有项目继承此父POM，确保所有构建自动执行前置检查。

4. IDE层面提前拦截（辅助手段） #

• 在企业统一IDE中配置自定义规则：
  • 比如在IntelliJ IDEA中通过“Inspections”配置Maven依赖检查规则，标记黑名单中的依赖为错误，阻止开发者添加或保存。
  • 开发IDE插件，实时检测POM中的依赖，一旦发现违规立即给出提示并拦截，提前在开发阶段阻止问题。

内容的提问来源于stack exchange，提问作者Umesh Kumar