如何在Spring Boot依赖管理中指定最低版本而非固定版本？

在Gradle中，可以通过配置**依赖解析策略（Resolution Strategy）**实现「指定最低版本，当Spring Boot依赖管理的默认版本更高时自动使用默认版本」的需求，无需硬固定版本号。

具体配置方式 #

在你的build.gradle（或build.gradle.kts）中添加以下配置：

Groovy DSL #

configurations.all {
    resolutionStrategy.eachDependency { DependencyResolveDetails details ->
        if (details.requested.group == 'org.springframework.security' && details.requested.name == 'spring-security-oauth2-client') {
            // 指定最低版本为5.7.5，若Spring Boot默认版本更高则使用默认版本
            def minVersion = '5.7.5'
            def bootProvidedVersion = details.requested.version ?: '0'
            details.useVersion(bootProvidedVersion >= minVersion ? bootProvidedVersion : minVersion)
        }
    }
}

Kotlin DSL #

configurations.all {
    resolutionStrategy.eachDependency {
        if (requested.group == "org.springframework.security" && requested.name == "spring-security-oauth2-client") {
            val minVersion = "5.7.5"
            val bootProvidedVersion = requested.version ?: "0"
            useVersion(if (bootProvidedVersion >= minVersion) bootProvidedVersion else minVersion)
        }
    }
}

这段代码的逻辑是：遍历所有依赖，当匹配到spring-security-oauth2-client时，对比Spring Boot依赖管理提供的版本和你指定的最低版本（5.7.5），取两者中更高的版本使用。后续Spring Boot发布补丁版本、自带的Spring Security版本高于5.7.5时，会自动切换到Boot的默认版本，无需手动移除配置。

其他可选应对策略 #

• 动态版本后缀简化配置：如果你不想写复杂的解析逻辑，可以在gradle.properties中使用+后缀允许版本向上兼容，自动拉取指定大版本下的最新补丁版：

  spring-security-oauth2-client.version=5.7.+
  

  这种方式比固定版本更灵活，当Spring Boot默认版本升级到更高大版本（如5.8.x）时，再手动调整后缀即可。

• 依赖漏洞与更新监控：引入Gradle的dependency-check插件定期扫描依赖漏洞，或使用refreshVersions插件自动检测依赖更新，能及时发现Spring Boot补丁版本的发布，结合上述配置既能快速修复漏洞，又能避免依赖过时。

内容的提问来源于stack exchange，提问作者chris