Maven公共依赖面向不同引用项目的多版本部署最佳实践

首先明确问题根因：你当前出现公共依赖发布新版后所有项目自动拉取新版的问题，本质是依赖声明用了RELEASE/LATEST标识、开放版本范围这类动态版本写法，Maven默认会拉取符合规则的最新版本，这是生产环境需要严格禁止的配置。

下面是可直接落地的方案，完全规避你提到的手动改版易漏、传参繁琐的问题：

• 方案一：项目内属性绑定固定版本+流程校验兜底
  第一步先全量清理所有项目里的动态版本配置，从根源上关闭自动升级能力。
  每个独立项目在根pom.xml的properties节点中，单独声明当前项目要使用的公共依赖固定版本，依赖引用时直接引用该属性即可：

  <!-- 每个项目独立配置，互不干扰 -->
  <properties>
      <common-lib.version>1.2.5</common-lib.version>
  </properties>
  
  <dependencies>
      <dependency>
          <groupId>com.xxx</groupId>
          <artifactId>common-lib</artifactId>
          <version>${common-lib.version}</version>
      </dependency>
  </dependencies>
  

  这种写法不需要每次执行Maven命令传参，默认直接读取pom中写死的版本值，只有临时需要覆盖版本时才需要传入参数。
  为了避免人为疏漏漏改版本，直接在CI流水线中加两层校验：一是用Maven Enforcer插件配置规则，检测到动态版本写法直接阻断构建；二是公共依赖版本变更必须单独提交代码，走正常代码评审流程，版本配置和项目代码一起存仓库，全链路可追溯，完全不需要上线前临时修改。

• 方案二：按项目维度维护独立BOM做版本管控
  如果单项目下子模块较多，不要用全局统一父POM强制所有项目对齐公共依赖版本，给每个独立项目/业务线维护自己的BOM（物料清单），在BOM的dependencyManagement节点中统一锁定当前项目所有依赖（含公共依赖）的版本：

  <!-- 项目独立BOM的pom.xml -->
  <dependencyManagement>
      <dependencies>
          <dependency>
              <groupId>com.xxx</groupId>
              <artifactId>common-lib</artifactId>
              <version>1.3.0</version>
          </dependency>
      </dependencies>
  </dependencyManagement>
  

  项目下的子模块引入公共依赖时不需要写version标签，自动继承BOM中锁定的版本。公共依赖发布新版本后，哪个项目需要升级，就单独修改自己项目BOM里的版本号，其他项目完全不受影响，不会出现强制拉取新版的问题。

• 版本规则兜底配置
  不管用上面哪种方案，都可以在项目根pom的dependencyManagement节点中显式声明公共依赖的锁定版本，就算有其他传递依赖引入了不同版本的公共依赖，Maven也会优先以当前项目锁定的版本为准，彻底避免版本意外漂移。

生产环境避坑提醒：绝对不要在生产项目的依赖声明中使用RELEASE、LATEST标识，也不要写[1.0.0,)这类无上限的版本范围，这类配置是依赖版本失控的核心诱因。

内容的提问来源于stack exchange，提问作者TopferHarald