如何消除Maven构建中未声明依赖的检测告警？

嘿，这个问题我之前维护项目时也踩过坑！咱们先搞清楚为什么会出现这种“左右为难”的情况：dependency:analyze的逻辑是检查当前项目编译类路径里的依赖——如果你的代码直接用到了Spring、Hibernate的类/注解，但这些依赖是通过common组件传递进来的，它会报“已使用未声明”；可你一旦显式加到自己的POM里，又因为common已经引入过，它会觉得你重复声明，跳去“未使用已声明”列表。本质是Maven的依赖分析机制和传递依赖的透明度之间的矛盾。

针对你的四个选项，我逐一拆解：

• 选项1：移除依赖靠common引入
  这种做法短期能让POM干净，但隐患很大：一是依赖不透明，新人接手根本不知道这些核心依赖从哪来；二是如果哪天common偷偷升级了Spring/Hibernate版本，你的项目可能突然出现兼容性问题（比如注解失效、API变更）。而且dependency:analyze的告警会一直存在，没法彻底解决，不推荐。

• 选项2：显式添加并从common排除
  完全没必要，甚至会搞砸依赖树。common引入这些依赖是因为它自身需要（比如安全模块用到Spring Security），你强行排除会导致common功能故障。而且显式声明的版本如果和common依赖的版本不一致，还会引发依赖冲突，徒增麻烦。

• 选项3：指定scope并启用ignoreNonCompile
  方向对，但细节要调整：如果你的代码在编译期就用到了这些依赖（比如Spring的@Autowired、Hibernate的@Entity），不能设为runtime或provided——前者编译时找不到类，后者会假设容器提供，运行时可能丢包。正确的做法是保持compile scope，然后配置maven-dependency-plugin忽略这些依赖的误判告警，而不是用ignoreNonCompile（这个参数是忽略非编译依赖的分析，不适用你的场景）。

• 选项4：推荐的最佳实践方案
  结合Maven官方的依赖管理规范，我推荐两步走：

  1. 显式声明你项目直接使用的传递依赖：把Spring、Hibernate这些你代码里直接用到的依赖，明确加到自己的POM的<dependencies>里，保持compile scope。这是Maven的最佳实践——明确直接依赖能提高项目可读性，还能锁定版本，避免common版本变更带来的风险。
  2. 配置maven-dependency-plugin忽略误判告警：因为common已经传递引入了这些依赖，dependency:analyze会误判你显式声明的依赖是“未使用”，这时候你可以在插件配置里指定忽略这些依赖的告警。

举个配置例子：

<build>
  <plugins>
    <plugin>
      <groupId>org.apache.maven.plugins</groupId>
      <artifactId>maven-dependency-plugin</artifactId>
      <version>3.6.0</version>
      <executions>
        <execution>
          <id>analyze-deps</id>
          <goals>
            <goal>analyze-only</goal>
          </goals>
          <configuration>
            <!-- 列出你显式声明但被误判为未使用的依赖 -->
            <ignoredDependencies>
              <ignoredDependency>org.springframework:spring-core</ignoredDependency>
              <ignoredDependency>org.hibernate:hibernate-core</ignoredDependency>
              <!-- 其他需要忽略的依赖 -->
            </ignoredDependencies>
          </configuration>
        </execution>
      </executions>
    </plugin>
  </plugins>
</build>

这样既符合Maven的依赖管理规范，又彻底解决了告警问题，同时保证了项目的可维护性和稳定性。

内容的提问来源于stack exchange，提问作者DaFoot