Gradle依赖排除失败：如何正确从spring-security-web中排除子依赖？

你遇到的核心问题是Gradle依赖排除的语法使用错误，当前的写法不符合Gradle的规范，导致这些排除规则根本没被正确识别执行。

问题根源 #

你现在直接把带版本号的完整依赖字符串传给exclude方法，但Gradle的exclude逻辑是按**组（group）和模块（module）**来匹配子依赖的，不需要指定版本号——版本号不仅不是匹配条件，反而会因为子依赖实际版本可能和springSecurityVersion不一致，导致匹配失败。

正确配置写法 #

下面是两种经过验证的可行写法：

写法1：显式指定group和module（推荐，可读性更强） #

dependencies {
    ...
    implementation "org.springframework.security:spring-security-web:$springSecurityVersion" {
        exclude group: "org.springframework", module: "spring-core"
        exclude group: "org.springframework", module: "spring-beans"
        exclude group: "org.springframework", module: "spring-context"
        exclude group: "org.springframework", module: "spring-web"
    }
    ...
}

写法2：简化的group:module字符串格式 #

dependencies {
    ...
    implementation "org.springframework.security:spring-security-web:$springSecurityVersion" {
        exclude "org.springframework:spring-core"
        exclude "org.springframework:spring-beans"
        exclude "org.springframework:spring-context"
        exclude "org.springframework:spring-web"
    }
    ...
}

验证排除效果的小技巧 #

如果配置后还是不确定是否生效，可以执行以下Gradle命令查看依赖树，精准排查：

./gradlew dependencies --configuration implementation

在输出结果里搜索spring-security-web对应的依赖节点，检查你要排除的子依赖是否已经消失。如果仍存在，大概率是其他依赖也引入了这些Spring核心包，这时可以考虑全局排除（不滥用的前提下）：

configurations.all {
    exclude group: "org.springframework", module: "spring-core"
    // 按需添加其他全局排除规则
}

内容的提问来源于stack exchange，提问作者Raghuveer