发布至Maven Central时处理内部依赖及生成Release POM.xml

内部依赖的处理方案 #

你提出的把内部依赖作为独立库上传到Maven Central的方案完全合规且合理。Maven Central要求所有发布的库的依赖必须是公开可访问的，这样其他开发者才能正常拉取和使用你的核心库。

需要注意的细节：

• 每个内部依赖都得单独满足Sonatype的发布要求：要有有效的Group ID（比如你用的com.internal.dep，得确保这个域名是你可控的，能通过Sonatype的验证）、包含必要的元数据（Javadoc包、Sources包、签名文件等）。
• 如果这些内部依赖只为你的核心库服务，没有单独对外提供功能的需求，也可以把它们打包进核心库的jar里，但这种方式不推荐——会增大核心库体积，而且不利于依赖版本管理，后续内部依赖更新时，用户没法单独升级。

生成干净的Release POM #

针对内部POM里的冗余或敏感信息，你可以通过Maven插件配置来生成仅包含必要内容的Release POM，以下两种方法都可行：

方法1：用maven-release-plugin自动化处理 #

在你的POM里配置这个插件，指定生成Release POM时过滤掉不必要的内容：

<build>
  <plugins>
    <plugin>
      <groupId>org.apache.maven.plugins</groupId>
      <artifactId>maven-release-plugin</artifactId>
      <version>3.0.1</version>
      <configuration>
        <ignoreSnapshots>true</ignoreSnapshots>
        <releaseProfiles>release</releaseProfiles>
      </configuration>
    </plugin>
  </plugins>
</build>

同时创建一个release环境的profile，在里面定义仅用于发布的依赖和配置：

<profiles>
  <profile>
    <id>release</id>
    <activation>
      <property>
        <name>performRelease</name>
        <value>true</value>
      </property>
    </activation>
    <dependencies>
      <!-- 只保留发布所需的公开依赖，填写正式版本号 -->
      <dependency>
          <groupId>com.internal.dep</groupId>
          <artifactId>messages-api-dep</artifactId>
          <version>1.0.0</version>
      </dependency>
      <dependency>
          <groupId>com.internal.dep</groupId>
          <artifactId>messages-control-dep</artifactId>
          <version>1.0.0</version>
      </dependency>
    </dependencies>
    <!-- 移除内部仓库、敏感插件配置等内容，只保留Maven Central仓库 -->
    <repositories>
      <repository>
        <id>central</id>
        <url>https://repo1.maven.org/maven2/</url>
        <releases>
          <enabled>true</enabled>
        </releases>
        <snapshots>
          <enabled>false</enabled>
        </snapshots>
      </repository>
    </repositories>
  </profile>
</profiles>

执行发布命令时激活这个profile：

mvn release:prepare release:perform -DperformRelease=true

方法2：手动清理或用maven-shade-plugin生成精简POM #

如果不需要自动化发布，你可以直接手动删除内部POM里的敏感/冗余内容，只保留Group ID、Artifact ID、版本号、必要依赖这些核心信息，用清理后的POM执行发布即可。
或者用maven-shade-plugin在打包时自动生成精简POM：

<plugin>
  <groupId>org.apache.maven.plugins</groupId>
  <artifactId>maven-shade-plugin</artifactId>
  <version>3.4.1</version>
  <executions>
    <execution>
      <phase>package</phase>
      <goals>
        <goal>shade</goal>
      </goals>
      <configuration>
        <createDependencyReducedPom>true</createDependencyReducedPom>
        <!-- 可根据需求添加过滤规则，移除不需要的配置 -->
      </configuration>
    </execution>
  </executions>
</plugin>

生成的dependency-reduced-pom.xml会自动移除重复依赖和不必要的配置，你可以基于这个文件调整后作为Release POM使用。

内容的提问来源于stack exchange，提问作者Aram Hernandez