Maven项目依赖收敛问题：不同层级依赖含不同版本Bouncycastle

问题背景 #

你的项目中，DependencyA1通过不同层级传递引入了两个版本的org.bouncycastle:bcprov-jdk15on：1.68（路径为DependencyA1→A2→A3→A4→bcprov）和1.62（路径为DependencyA1→A2→A3→bcprov）。由于Maven默认路径最短优先的调解规则，会优先选择1.62版本，但你需要强制使用1.68版本，且无法修改依赖POM或排除特定版本，之前用provided scope反而引发更多冲突。

可行解决方案 #

1. 项目POM显式声明1.68版本 #

直接在MyProject的<dependencies>节点中添加该依赖，无需provided scope：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk15on</artifactId>
    <version>1.68</version>
</dependency>

Maven规则中，直接声明的依赖优先级高于所有传递依赖，无论路径长度或声明顺序，会强制覆盖所有传递过来的旧版本。

2. 用Dependency Management锁定版本 #

如果是多模块项目或需要统一管控依赖版本，在项目（或父POM）的<dependencyManagement>中添加版本锁定：

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.bouncycastle</groupId>
            <artifactId>bcprov-jdk15on</artifactId>
            <version>1.68</version>
        </dependency>
    </dependencies>
</dependencyManagement>

这种方式仅锁定版本，不主动引入依赖，所有子模块和传递依赖都会遵循该版本规则，适合大规模项目的依赖统一管理。

3. 验证生效情况 #

执行以下命令检查依赖树，确认是否已统一为1.68版本：

mvn dependency:tree -Dincludes=org.bouncycastle:bcprov-jdk15on

为什么provided scope会引发更多问题？ #

provided scope标记依赖由运行环境提供，Maven不会将其打包，也不会处理它的传递依赖。这会导致原本依赖bcprov的传递组件无法找到正确版本，进而引发依赖缺失或新的版本冲突，完全不适合解决依赖收敛问题。

内容的提问来源于stack exchange，提问作者Lorayne