升级reactor-netty-http至1.1.1后，其依赖版本未同步更新求助

核心原因分析 #

• Spring Boot依赖管理的优先级锁定：Spring Boot的spring-boot-dependencies父POM会通过dependencyManagement统一管控所有第三方依赖的版本。你使用的Boot 2.7.1版本中，默认锁定的Netty版本就是4.1.78.Final，即便reactor-netty-http:1.1.1依赖更高版本的Netty，Maven也会优先遵循Boot依赖管理中声明的版本，不会自动升级。
• Reactor Netty组件版本不匹配：reactor-netty-http和reactor-netty-core属于同一系列组件，1.1.x版本的http需要搭配同版本的core使用。你仅单独升级了http模块，core仍停留在1.0.20版本，而旧版本的core依赖的还是4.1.78.Final的Netty，这也会导致Maven解析时保留低版本的Netty组件。
• Maven依赖调解机制的影响：当同一依赖存在多个版本时，Maven会优先选择dependencyManagement中声明的版本（优先级最高），其次是路径最短的版本，最后是声明顺序靠前的版本。由于Boot的依赖管理已经锁定了Netty版本，所以即使其他依赖引入更高版本，也不会生效。

解决办法 #

方法1：显式覆盖依赖管理中的版本 #

在项目的pom.xml的dependencyManagement节点中，手动声明需要升级的组件版本，强制Maven使用指定版本：

<dependencyManagement>
    <dependencies>
        <!-- 升级reactor-netty-core到与http匹配的版本 -->
        <dependency>
            <groupId>io.projectreactor.netty</groupId>
            <artifactId>reactor-netty-core</artifactId>
            <version>1.1.1</version>
        </dependency>
        <!-- 导入Netty的BOM，统一管控所有Netty组件版本 -->
        <dependency>
            <groupId>io.netty</groupId>
            <artifactId>netty-bom</artifactId>
            <version>4.1.86.Final</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

方法2：升级Spring Boot版本到兼容版本 #

Spring Boot的后续小版本（如2.7.7及以上）已经将Reactor Netty和Netty版本升级到了修复CVE的版本，直接升级Boot版本可以避免手动调整依赖：

<parent>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-parent</artifactId>
    <version>2.7.7</version> <!-- 或更高的2.7.x版本 -->
    <relativePath/>
</parent>

内容的提问来源于stack exchange，提问作者hotzst