Maven构建因版本范围依赖解析失败问题求助

问题背景 #

我们维护一个包含Web子项目的EAR项目，pom.xml中包含数百个依赖，其中：

• 指定版本的com.nimbusds相关依赖
• 版本范围为[2.7.1,)的xalan依赖

近期构建突然失败，核心报错：

• 无法解析com.nimbusds:oauth2-oidc-sdk:jar:8.19依赖的net.minidev:json-smart:jar:[1.3.1,2.3]版本范围
• xalan依赖出现同类版本范围解析问题

环境差异 #

• Bamboo构建环境：apache-maven-3.6.0 + JDK_1_8_0_191 → 构建失败
• 本地命令行：maven3.8.5 + JDK1.8.0.332 → 可复现失败
• Eclipse内嵌环境：maven3.6.3 + JDK1.8.0_281 → 无异常，可正常拉取json-smart-2.3.jar

临时可行方案：在nimbus依赖中排除json-smart:jar，手动添加指定版本2.3的该依赖，构建恢复正常。但这套配置已稳定运行5年，未手动修改过构建环境的Maven、JDK版本。

可能原因 #

1. Maven版本解析逻辑差异：不同Maven版本对版本范围的处理存在细节区别。比如Maven 3.6.0/3.8.5与3.6.3在处理闭区间版本范围时，可能因远程仓库元数据更新触发不同的解析行为，导致无法匹配有效版本。
2. 远程仓库元数据变更：Maven Central等远程仓库的依赖元数据可能发生更新（如旧版本标记废弃、索引结构调整），导致原本有效的版本范围[1.3.1,2.3]无法被正确识别。
3. 隐性依赖冲突：项目中大量依赖可能存在未被触发的冲突，近期某间接依赖的版本更新打破了原有依赖调解规则，引发版本范围解析失败。

解决方案 #

方案1：锁定依赖版本（固化临时方案） #

将临时解决方法固化到pom.xml，明确指定依赖版本，避免范围解析问题：

<!-- 排除nimbus依赖中的json-smart传递依赖 -->
<dependency>
    <groupId>com.nimbusds</groupId>
    <artifactId>oauth2-oidc-sdk</artifactId>
    <version>8.19</version>
    <exclusions>
        <exclusion>
            <groupId>net.minidev</groupId>
            <artifactId>json-smart</artifactId>
        </exclusion>
    </exclusions>
</dependency>
<!-- 手动添加指定版本的json-smart -->
<dependency>
    <groupId>net.minidev</groupId>
    <artifactId>json-smart</artifactId>
    <version>2.3</version>
</dependency>

针对xalan的同类问题，可采用同样逻辑：排除其传递的不确定版本范围依赖，手动指定稳定版本。

方案2：通过dependencyManagement强制版本 #

在pom.xml中添加dependencyManagement节点，强制锁定目标依赖版本，覆盖传递依赖的版本范围：

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>net.minidev</groupId>
            <artifactId>json-smart</artifactId>
            <version>2.3</version>
        </dependency>
        <!-- 锁定xalan版本为范围内的稳定版 -->
        <dependency>
            <groupId>xalan</groupId>
            <artifactId>xalan</artifactId>
            <version>2.7.2</version>
        </dependency>
    </dependencies>
</dependencyManagement>

这种方式无需修改原有依赖的exclusion配置，直接通过依赖管理统一控制版本。

方案3：清理本地仓库缓存 #

删除本地Maven仓库中对应依赖的缓存目录（如~/.m2/repository/net/minidev/json-smart），重新拉取依赖元数据，排查是否因本地缓存损坏导致解析失败。

内容的提问来源于stack exchange，提问作者gsakthivel