Maven插件中无法查找并覆盖传递依赖的问题求助

嗨，我来给你支几招解决这个头疼的问题！

你提到mvn dependency:tree和依赖解析插件找不到那些插件的传递依赖，这其实很正常——因为这些依赖是Maven插件自身的依赖，不是你的业务项目依赖，常规的依赖树命令只会展示项目自身的依赖链条，不会包含插件层面的依赖。

下面是几个实用的方法，帮你定位并覆盖这些有漏洞的插件依赖：

1. 生成目标插件的专属依赖树 #

你可以用Maven依赖插件的专门命令，生成单个插件的完整依赖树，比如要排查maven-compiler-plugin，就执行：

mvn org.apache.maven.plugins:maven-dependency-plugin:tree -Dplugin=org.apache.maven.plugins:maven-compiler-plugin

把命令里的插件坐标（org.apache.maven.plugins:maven-compiler-plugin）换成你要检查的其他插件，比如surefire-plugin、spring-boot-maven-plugin，就能精准看到这个插件拉取的所有传递依赖，包括你提到的plexus、plexus-archive、commons-compress这些。

2. 直接在插件配置中强制覆盖依赖 #

一旦定位到有漏洞的依赖，你可以在pluginManagement或者插件的直接配置里，通过dependencies节点强制指定安全版本，示例配置如下：

<build>
  <pluginManagement>
    <plugins>
      <plugin>
        <groupId>org.apache.maven.plugins</groupId>
        <artifactId>maven-compiler-plugin</artifactId>
        <version>你当前使用的插件版本</version>
        <dependencies>
          <!-- 覆盖有漏洞的plexus-utils版本 -->
          <dependency>
            <groupId>org.codehaus.plexus</groupId>
            <artifactId>plexus-utils</artifactId>
            <version>安全的目标版本号</version>
          </dependency>
          <!-- 覆盖有漏洞的commons-compress版本 -->
          <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-compress</artifactId>
            <version>安全的目标版本号</version>
          </dependency>
        </dependencies>
      </plugin>
    </plugins>
  </pluginManagement>
</build>

这样Maven在构建时会优先使用你指定的安全版本，忽略插件默认依赖的有漏洞版本。

3. 升级插件本身版本（最省心的方案） #

很多时候，旧版本的插件才会依赖有漏洞的第三方库，你可以尝试直接升级这些插件到最新的稳定版——新版本的插件通常会主动把依赖升级到安全版本，这样你甚至不用手动覆盖依赖，就能解决问题。比如检查maven-compiler-plugin、surefire-plugin的官方稳定版，直接替换你当前的插件版本号即可。

4. 用Maven Enforcer插件统一管控 #

如果你的公司有统一的依赖安全规范，也可以借助maven-enforcer-plugin来强制管控所有依赖（包括插件依赖）。你可以配置dependencyConvergence规则，让它自动检测依赖冲突，还能通过requireUpperBoundDeps强制使用依赖的最高安全版本，从根源上避免漏洞依赖被引入。

备注：内容来源于stack exchange，提问作者Jatin Bhola