Maven Tycho如何排查传递依赖的来源？

针对Tycho项目无法用原生mvn dependency:tree准确识别传递依赖的问题，有几个专属工具和命令可以解决：

• 使用Tycho官方的依赖树生成命令
  执行mvn org.eclipse.tycho:tycho-dependency-plugin:tree，这个命令基于Tycho的OSGi依赖解析逻辑，能正确区分直接依赖和传递依赖，清晰展示每个依赖的引入层级和路径，直接定位到问题传递依赖的根源。

• 查看详细的依赖解析日志
  如果需要更深入的依赖决策信息，执行mvn org.eclipse.tycho:tycho-resolver-plugin:resolve -Dtycho.resolve.log=true。该命令会输出完整的依赖解析过程，包括每个bundle的版本选择依据、依赖来源，适合排查复杂的依赖冲突或模糊的传递依赖问题。

• 结合OWASP结果精准定位
  把OWASP检测出的问题依赖的标识（比如OSGi Bundle的Symbolic Name，或者Maven坐标）拿到上面两个命令的输出里搜索，就能快速找到对应的依赖链，确定是哪个直接依赖引入了它。

内容的提问来源于stack exchange，提问作者Safron