Android模块发布时Gradle依赖内部API泄露问题及解决方案咨询

我之前在维护一组可组合的Android组件库时，完全碰到过和你一模一样的问题——构建时靠api/implementation区分依赖加速编译，但发布后implementation的内部依赖也会出现在POM里，导致不该暴露的内部模块API被消费方看到。结合实际踩过的坑，给你几个不依赖“胖库”的解决方案：

1. 用Gradle依赖可见性规则控制传递性 #

Gradle 7.0+引入了依赖可见性控制的特性，允许你直接标记内部依赖为private，这样它不会被传递到上层依赖，而且发布到Maven时也不会出现在POM文件中。配置方式很简单：

dependencies {
    // 标记内部模块依赖为私有，仅当前模块可用
    implementation(project(":your-internal-module")) {
        visibility = "private"
    }
}

这个方案最直接，不需要额外插件，只要你的Gradle版本足够新（建议7.0以上），就能完美解决问题——构建时内部模块正常参与编译，发布后完全不会暴露给消费方。

2. 手动控制Maven POM生成的依赖列表 #

如果你的Gradle版本较低，或者需要更精细的控制，可以通过maven-publish插件自定义POM文件，只保留需要暴露的api依赖，剔除implementation里的内部模块。示例配置如下：

publishing {
    publications {
        release(MavenPublication) {
            from components.release
            pom {
                dependencies {
                    // 保留api依赖，标记为compile scope
                    project.configurations.api.allDependencies.each { dep ->
                        dependency {
                            groupId dep.group
                            artifactId dep.name
                            version dep.version
                            scope "compile"
                        }
                    }
                    // 只保留非内部模块的implementation依赖（如果有的话），标记为runtime scope
                    project.configurations.implementation.allDependencies.each { dep ->
                        if (!dep.group.startsWith("your.internal.group.id")) { // 替换成你的内部模块组ID
                            dependency {
                                groupId dep.group
                                artifactId dep.name
                                version dep.version
                                scope "runtime"
                            }
                        }
                        // 内部模块依赖直接跳过，不写入POM
                    }
                }
            }
        }
    }
}

这种方式完全自定义了发布的依赖声明，确保只有你想暴露的依赖会出现在消费方的依赖树里。

3. 拆分内部模块为API层和实现层 #

如果你的内部模块本身包含部分需要被上层模块复用的API，同时又有大量实现细节，可以把内部模块拆分为两个子模块：

• internal-module-api：仅包含对外暴露的接口、实体类等API代码
• internal-module-impl：包含具体实现逻辑，依赖internal-module-api

然后在你的发布模块中：

dependencies {
    // 暴露内部API给消费方（如果需要）
    api(project(":internal-module-api"))
    // 仅内部使用实现模块，不会传递
    implementation(project(":internal-module-impl"))
}

这样发布后，消费方只会看到internal-module-api的依赖，而实现细节完全被隐藏。如果你的内部模块纯是实现细节，不需要暴露任何API，那直接用方案1或2即可。

4. 用ProGuard/R8兜底隐藏内部API #

如果以上方案都无法完全满足需求，还可以通过Android的混淆工具来兜底：在发布模块的build.gradle中添加consumerProguardFiles，指定混淆规则，把内部模块的API从发布的AAR中隐藏：

android {
    defaultConfig {
        consumerProguardFiles "consumer-rules.pro"
    }
}

然后在consumer-rules.pro中添加规则：

# 隐藏内部模块的所有类和方法
-dontwarn com.your.internal.package.**
-keep class com.your.internal.package.** { *; }
-dontnote com.your.internal.package.**

不过这个方案是从代码层面隐藏API，属于兜底手段，优先推荐前面的依赖层面控制方案。

内容的提问来源于stack exchange，提问作者Thomas Keller