Android 库开发最佳实践：Rest API 请求三方依赖使用相关疑问

问题1：能否直接使用Retrofit、Gson这类三方库，还是需要用OkHttp这类更底层组件实现？ #

• 完全可以直接使用Retrofit、Gson这类上层封装库，没有强制要求必须从OkHttp底层开始自研，具体选择取决于你的库定位：
  • 如果你的库是封装特定业务场景的API请求逻辑，比如统一签名、统一错误处理、特定服务的对接封装，直接用Retrofit能大幅减少重复开发成本，也是开源Android库的常规做法
  • 如果你的库定位是通用网络请求框架，需要做高度定制的缓存、拦截、序列化逻辑，再考虑从OkHttp甚至更底层的网络层实现
• 若要给接入方更高的灵活性，建议把Retrofit、Gson的实例创建逻辑开放给接入方自定义，不要在库内部写死配置。

问题2：自研库引入三方依赖，应该优先使用最新版本还是更稳定的旧版本？ #

• 优先选择经过大范围验证的稳定旧版本，不要盲目跟进刚发布的最新版：
  • 刚发布的最新版往往可能存在未被发现的兼容性bug、隐性API变更问题，会牵连你的库被接入方质疑稳定性
  • 选择的版本最好是已经被多数主流开源库、头部应用验证过的版本，比如Retrofit 2.9.x、Gson 2.10.x这类发布超过半年、没有公开严重漏洞的版本
  • 如果对应版本存在必须修复的安全漏洞，再跟进修复了漏洞的最小可用版本即可，不需要跨大版本升级。

问题3：库中使用的Retrofit版本高于宿主App使用的Retrofit版本，是否会产生错误？ #

• 大概率会引发兼容性错误：Android Gradle构建时默认采用依赖树中的最高版本，最终APK中只会保留你引入的高版本Retrofit：
  • 如果高版本Retrofit废弃、删除了宿主App用到的API，宿主App运行时会直接抛出NoClassDefFoundError、NoSuchMethodError这类崩溃
  • 即使没有公开API变更，也可能存在内部实现逻辑差异，导致宿主App原有网络逻辑出现不符合预期的异常
• 规避方案：你可以把Retrofit这类通用依赖改为compileOnly模式依赖，仅用于编译阶段，实际依赖版本交给接入方的App模块统一指定；如果要透传依赖，也请标注清楚支持的版本范围，不要强指定高版本。

内容的提问来源于stack exchange，提问作者Mikhail Sharin