解决Xray违规依赖定位问题：Maven依赖树可见但POM无记录

1. 定位依赖的传递路径 #

这个依赖是间接传递依赖（由其他直接依赖引入），所以不会出现在你的项目pom.xml中。执行以下命令可以精准查看它的完整引入链路：

mvn dependency:tree -Dincludes=dependencygroupId:dependencyartifactId

执行后会输出类似这样的层级结构，明确它是通过哪个依赖传递过来的：

[INFO] com.your-project:your-module:jar:1.0.0
[INFO] - third-party.group:third-party-artifact:jar:4.1.0:compile
[INFO] - dependencygroupId:dependencyartifactId:jar:2.2.0.0:compile

2. 检查继承的父POM #

如果你的项目通过<parent>标签继承了父POM（多模块项目常见），要去顶层父POM文件里排查：该依赖可能是父POM直接声明的，或者由父POM引入的依赖间接传递而来。

3. 排查激活的Profile依赖 #

部分依赖会放在<profile>块中，只有激活对应Profile才会被引入。先执行命令查看当前激活的Profile：

mvn help:active-profiles

再去pom.xml中对应Profile的<dependencies>或<dependencyManagement>节点里查找该依赖。

4. 处理不必要的传递依赖 #

如果这个传递依赖是项目不需要的，可以在它的上层直接依赖中添加排除规则：

<dependency>
    <groupId>third-party.group</groupId>
    <artifactId>third-party-artifact</artifactId>
    <version>4.1.0</version>
    <exclusions>
        <exclusion>
            <groupId>dependencygroupId</groupId>
            <artifactId>dependencyartifactId</artifactId>
        </exclusion>
    </exclusions>
</dependency>

内容的提问来源于stack exchange，提问作者Thejas