可独立构建的Gradle子项目相关依赖问题

老哥，我太懂你这种接手老旧Gradle多模块项目的崩溃感了——一堆闭源Jar乱飘，依赖版本打架，开发起来简直是噩梦。针对你说的「闭源Jar不能泄露给其他子项目」+「清理升级依赖」这俩核心问题，我给你捋几个实战能用的方案：

核心思路就是不让闭源Jar进入可传递的依赖配置（比如implementation），而是给每个需要闭源Jar的子项目单独定义私有配置：

• 在子项目的build.gradle里自定义配置，只让当前项目的编译、运行时能访问，但不传递给依赖它的模块：

  configurations {
      // 自定义一个仅当前项目可用的配置
      closedSourceLibs
      // 让编译、运行时类路径继承这个配置的Jar
      compileClasspath.extendsFrom closedSourceLibs
      runtimeClasspath.extendsFrom closedSourceLibs
  }
  
  dependencies {
      // 本地闭源Jar的引用方式
      closedSourceLibs files('libs/your-private-lib.jar')
      // 如果是私有Maven仓库的闭源Jar
      closedSourceLibs 'com.yourcompany:private-sdk:2.0.1'
  }
  

• 这样配置后，其他子项目哪怕依赖了这个子项目，也不会继承到闭源Jar，从根源上避免了命名空间冲突。

1. 先摸清依赖现状：生成依赖报告 #

先给每个子项目跑依赖树，搞清楚哪些依赖在生效、版本冲突出在哪：

# 查看指定子项目的编译类路径依赖树
./gradlew :subproject-name:dependencies --configuration compileClasspath

如果要定位某个特定依赖的来源（比如为啥某个旧版本的Guava还在），用dependencyInsight：

./gradlew :subproject-name:dependencyInsight --dependency com.google.guava:guava --configuration compileClasspath

2. 统一版本管理，避免零散依赖 #

把所有公共依赖的版本抽到根项目的配置里，后续升级只需要改一处：

• 在根项目的build.gradle里定义版本变量：

  ext {
      guavaVersion = '32.1.3-jre'
      jacksonVersion = '2.15.2'
      springVersion = '5.3.29'
  }
  

• 子项目里统一用变量引用：

  dependencies {
      implementation "com.google.guava:guava:${guavaVersion}"
      implementation "com.fasterxml.jackson.core:jackson-databind:${jacksonVersion}"
  }
  

3. 自动检测可升级依赖，逐步替换 #

用dependencyUpdates插件帮你自动扫描哪些依赖有新版本：

• 在根项目的build.gradle引入插件：

  plugins {
      id 'com.github.ben-manes.versions' version '0.47.0'
  }
  

• 跑命令生成升级报告：

  ./gradlew dependencyUpdates
  

  报告里会把依赖分成「最新版」「有更新」「过时」三类，你可以优先升级那些维护活跃的开源依赖；对于闭源Jar，如果必须保留，就用上面的专属配置隔离。

• 跑依赖树命令，检查其他子项目的依赖列表里有没有不该出现的闭源Jar；
• 对于库类型的子项目，用jar tf命令查看输出Jar的内容，确认没有把闭源Jar打包进去；
• 写个测试类，在不依赖闭源Jar的子项目里尝试引用闭源Jar的类，应该编译失败——这就证明隔离生效了。

内容的提问来源于stack exchange，提问作者errantlinguist