如何阻止Spring Boot中依赖版本被手动覆盖？

用户场景：团队维护Spring Boot项目时，常手动更新20余个依赖版本，但实际上只需更新Spring Boot父POM版本即可同步获取所有管理依赖的更新。希望找到工具或插件，当手动覆盖Spring Boot管理的依赖版本时，给出“请勿执行此操作”的提示甚至拦截构建。

示例问题代码：

<parent>  
  <groupId>org.springframework.boot</groupId>  
  <artifactId>spring-boot-starter-parent</artifactId>  
  <version>2.7.5</version>  
  <relativePath/> <!-- lookup parent from repository -->
</parent>
<dependencies>  
  <dependency>  
    <groupId>org.springframework.boot</groupId>  
    <artifactId>spring-boot-starter-web</artifactId>  
    <version>2.7.3</version> <!-- this line shouldn't exist -->
  </dependency>  
  <dependency>  
    <groupId>com.fasterxml.jackson.core</groupId>  
    <artifactId>jackson-databind</artifactId>  
    <version>2.10.0</version> <!-- this line shouldn't exist -->
  </dependency>
</dependencies>

可用工具与实现方式 #

1. Spring Boot Maven Plugin 内置检查 #

Spring Boot官方Maven插件自带dependency-check目标，可自动检测依赖版本与Spring Boot依赖管理的一致性：

• 配置方式：在pom.xml的<build>节点下添加插件执行配置：

<build>
    <plugins>
        <plugin>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-maven-plugin</artifactId>
            <version>2.7.5</version>
            <executions>
                <execution>
                    <goals>
                        <goal>dependency-check</goal>
                    </goals>
                </execution>
            </executions>
        </plugin>
    </plugins>
</build>

• 使用方式：执行mvn spring-boot:dependency-check，插件会列出所有与Spring Boot依赖管理版本不一致的依赖，还可通过配置将警告升级为错误，直接终止构建。

2. Maven Enforcer Plugin 自定义拦截 #

Maven Enforcer插件支持自定义规则，可精准禁止手动指定特定依赖的版本：

• 配置示例：

<build>
    <plugins>
        <plugin>
            <groupId>org.apache.maven.plugins</groupId>
            <artifactId>maven-enforcer-plugin</artifactId>
            <version>3.1.0</version>
            <executions>
                <execution>
                    <id>enforce-managed-deps</id>
                    <goals>
                        <goal>enforce</goal>
                    </goals>
                    <configuration>
                        <rules>
                            <bannedDependencies>
                                <excludes>
                                    <!-- 禁止手动指定Spring Boot starters的版本 -->
                                    <exclude>org.springframework.boot:spring-boot-starter-*:*</exclude>
                                    <!-- 禁止手动指定Spring Boot管理的第三方依赖版本 -->
                                    <exclude>com.fasterxml.jackson.core:jackson-databind:*</exclude>
                                </excludes>
                                <message>⚠️ 请勿手动指定Spring Boot管理的依赖版本，请通过更新父POM版本统一升级</message>
                            </bannedDependencies>
                        </rules>
                        <fail>true</fail> <!-- 触发规则时直接报错终止构建 -->
                    </configuration>
                </execution>
            </executions>
        </plugin>
    </plugins>
</build>

• 优势：规则完全自定义，可根据团队需求灵活调整拦截范围。

3. IDE 内置代码检查 #

主流IDE（如IntelliJ IDEA、Eclipse）对Spring Boot项目有原生支持：

• IntelliJ IDEA：当手动指定父POM已管理的依赖版本时，会显示灰色提示（标注“version is redundant”），可在设置中将该提示级别改为“Error”，强制开发人员注意。
• Eclipse：通过Spring Tools插件也能识别此类冗余版本，给出警告提示。

团队落地建议 #

结合上述工具，团队可以约定：

1. 统一通过更新Spring Boot父POM的<version>来升级所有依赖；
2. 在CI/CD流程中加入Maven构建检查，拦截手动指定管理依赖版本的提交；
3. 配置IDE的代码检查规则，在开发阶段就及时提示问题。

内容的提问来源于stack exchange，提问作者Matt Busche