如何用Maven避免直接及传递依赖中的非固定版本？

要确保Maven构建稳定可复现，检查并禁止直接/传递依赖使用非固定版本（如范围版本、通配符、RELEASE/LATEST），可以通过以下几种方式实现：

1. 用Maven Enforcer Plugin的banVersionRanges规则（最简便） #

Maven Enforcer插件内置的banVersionRanges规则可以直接检查并禁止版本范围，配置后能覆盖直接和传递依赖：

<build>
  <plugins>
    <plugin>
      <groupId>org.apache.maven.plugins</groupId>
      <artifactId>maven-enforcer-plugin</artifactId>
      <version>3.4.1</version> <!-- 使用最新稳定版本即可 -->
      <executions>
        <execution>
          <id>block-version-ranges</id>
          <goals>
            <goal>enforce</goal>
          </goals>
          <configuration>
            <rules>
              <banVersionRanges>
                <message>发现非固定版本依赖，请使用具体版本号保证构建稳定性</message>
                <banDirectDependencies>true</banDirectDependencies> <!-- 检查直接依赖 -->
                <banTransitiveDependencies>true</banTransitiveDependencies> <!-- 检查传递依赖 -->
                <!-- 可选：如果有特殊依赖需要例外，在这里配置排除 -->
                <!-- <excludes>
                  <exclude>com.example:some-allowed-dep</exclude>
                </excludes> -->
              </banVersionRanges>
            </rules>
            <fail>true</fail> <!-- 检查不通过时直接终止构建 -->
          </configuration>
        </execution>
      </executions>
    </plugin>
  </plugins>
</build>

这个配置会扫描所有依赖，一旦发现使用[1.0,), 1.x, RELEASE这类非固定版本标记，就会抛出错误并停止构建。

2. 自定义Enforcer规则（适配特殊需求） #

如果内置规则无法满足你的自定义检查逻辑（比如需要严格匹配特定版本格式），可以编写自己的Enforcer规则：

• 实现org.apache.maven.enforcer.rule.api.EnforcerRule接口
• 在规则逻辑中遍历项目的所有依赖（包括传递依赖），校验版本字符串是否为固定版本（无范围符号、通配符）
• 将自定义规则打包成Jar，通过maven-enforcer-plugin的dependencies引入使用

3. 结合Dependency Plugin做脚本化检查 #

如果只是需要快速排查，也可以用maven-dependency-plugin生成依赖树，再用脚本扫描版本范围：

mvn dependency:tree | grep -E '\[.*\]|.*\*|.*\+|RELEASE|LATEST'

命令输出的内容就是存在非固定版本的依赖，可以把这个脚本加到CI流程里作为前置检查步骤。

额外建议：锁定依赖版本彻底解决构建稳定性 #

除了检查，更彻底的方式是锁定所有依赖版本，避免传递依赖的意外变更：

• 使用maven-dependency-plugin的resolve目标生成dependency-reduced-pom.xml，或者用dependency-lock-maven-plugin生成依赖锁定文件
• 构建时强制使用锁定文件，确保每次构建都用完全一致的依赖版本

内容的提问来源于stack exchange，提问作者Matze