配置dependency-check-maven插件对接企业Nexus失败求助

我之前帮团队搞定过一模一样的问题，你的配置漏了关键参数，再加上可能的Nexus版本路径适配问题，一步步来排查：

1. 强制禁用MavenCentral访问 #

dependency-check-maven默认会优先尝试连接官方MavenCentral，哪怕你配置了Nexus。必须显式禁用这个行为，在插件配置里加上：

<disableCentral>true</disableCentral>

这个参数会直接告诉插件：完全跳过官方中央仓库，只使用你指定的内部源。

2. 确认Nexus URL的正确性 #

你用的http://someIp:8084/nexus/service/local是Nexus 2的经典路径，但如果你们用的是Nexus 3，这个路径就完全不对了。Nexus 3的仓库端点格式是：

http://someIp:8084/repository/[你的代理仓库名称]/

比如默认代理MavenCentral的仓库叫maven-central，那正确URL就是http://someIp:8084/repository/maven-central/。

不确定仓库名称的话，登录Nexus控制台，进入「Repositories」找到代理MavenCentral的仓库，直接复制它的「Repository URL」就行。

3. 完整插件配置示例 #

把正确的配置组合起来，参考这个模板：

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>你的插件版本号</version>
    <configuration>
        <!-- 核心：禁用官方中央仓库 -->
        <disableCentral>true</disableCentral>
        <!-- 指向内部Nexus的代理仓库（根据Nexus版本调整URL） -->
        <centralRepositoryUrl>http://someIp:8084/repository/maven-central/</centralRepositoryUrl>
        <!-- 若需用Nexus的漏洞分析服务，再配置nexusUrl（注意版本差异） -->
        <!-- Nexus 2用：<nexusUrl>http://someIp:8084/nexus/service/local</nexusUrl> -->
        <!-- Nexus 3用：<nexusUrl>http://someIp:8084/service/rest</nexusUrl> -->
    </configuration>
    <executions>
        <execution>
            <goals>
                <goal>check</goal>
            </goals>
        </execution>
    </executions>
</plugin>

划重点：nexusUrl是用于插件和Nexus的漏洞分析服务交互的，而centralRepositoryUrl才是让插件从Nexus拉取依赖元数据的关键——很多人会搞混这两个参数！

4. 验证Nexus仓库的可用性 #

在本地终端测试能否访问Nexus的仓库URL，确保网络和权限没问题：

curl http://someIp:8084/repository/maven-central/org/springframework/spring-core/maven-metadata.xml

如果能返回正常的XML内容，说明仓库配置和网络通路没问题；如果不行，联系运维确认Nexus的仓库权限、内部网络白名单设置。

5. 利用Maven全局settings.xml简化配置 #

如果你的Maven全局settings里已经配置了镜像指向内部Nexus，也可以让插件自动继承这个配置，不用在插件里重复写URL。只需要确保settings.xml里的镜像覆盖了central仓库：

<mirrors>
    <mirror>
        <id>internal-nexus</id>
        <mirrorOf>central</mirrorOf>
        <url>http://someIp:8084/repository/maven-central/</url>
    </mirror>
</mirrors>

这种情况下，插件会自动使用全局镜像，但还是建议加上disableCentral参数，避免插件偷偷去连官方仓库。

内容的提问来源于stack exchange，提问作者JF Meier