使用Spring Security SAML2 Core 1.0.4.RELEASE Maven依赖遇依赖缺失问题

我之前也踩过这个坑，spring-security-saml2-core-1.0.4.RELEASE的依赖配置里引用了xml-apis:1.4，但这个版本的工件在公开Maven仓库里根本找不到——估计是这个老旧版本没被同步到主流仓库中。

临时解决方案（你正在使用的思路） #

直接在pom.xml里显式添加xml-apis的可用版本依赖，覆盖掉saml2-core传递过来的无效版本。比如可以用1.4.01这个广泛存在的替代版本：

<dependency>
    <groupId>xml-apis</groupId>
    <artifactId>xml-apis</artifactId>
    <version>1.4.01</version>
</dependency>

添加后Maven会优先使用你指定的有效版本，跳过寻找不存在的1.4版本。

更彻底的长期方案（如果项目允许） #

建议升级spring-security-saml2-core到更高的稳定版本，比如1.0.10.RELEASE。后续版本已经修复了这个依赖版本的问题，不会再引用找不到的xml-apis版本。升级后的依赖配置如下：

<dependency>
    <groupId>org.springframework.security.extensions</groupId>
    <artifactId>spring-security-saml2-core</artifactId>
    <version>1.0.10.RELEASE</version>
</dependency>

升级前记得做一下兼容性测试，确保不会因为版本变动引入其他问题。

辅助排查技巧 #

如果项目里还有其他依赖也引用了xml-apis，可以用Maven命令查看依赖树，确认是否存在版本冲突：

mvn dependency:tree -Dincludes=xml-apis:xml-apis

这个命令能帮你清晰梳理xml-apis的依赖来源，避免后续再出现类似的依赖缺失问题。

内容的提问来源于stack exchange，提问作者Artur Yakubenko