Gradle旧项目构建失败：如何定位commons-text-1.9的依赖来源？

一、临时绕过解析，查看构建类路径依赖树 #

因为报错发生在:classpath配置（即Gradle构建脚本自身的依赖），直接运行依赖树命令会失败，先通过强制替换版本让Gradle完成初始化：

• 在项目根目录的build.gradle中，给buildscript块添加版本强制规则，替换成仓库中存在的安全版本（比如1.10.0）：

  buildscript {
      configurations.all {
          resolutionStrategy {
              force 'org.apache.commons:commons-text:1.10.0'
          }
      }
      // 保留原有的repositories和dependencies配置
  }
  

• 保存后执行./gradlew buildEnvironment，该命令会输出构建脚本类路径的完整依赖树，搜索commons-text即可找到它的上游依赖来源。

二、手动排查构建脚本依赖 #

如果不想修改配置，可直接检查以下内容：

• 查看build.gradle和settings.gradle中的buildscript块，确认所有直接声明的插件或依赖，比如旧版本的Spring Boot插件、Gradle官方插件、公司内部自定义插件等，这类插件常引入传递依赖。
• 重点排查版本较老的插件，比如低版本的io.spring.dependency-management、org.springframework.boot插件，大概率是这类插件带进来的commons-text-1.9。

三、修复方案 #

找到问题依赖后，二选一处理：

1. 升级插件版本：将引入问题依赖的插件升级到最新稳定版，新版本通常会替换掉有漏洞的依赖版本。
2. 强制指定安全版本：如果无法升级插件，在buildscript的resolutionStrategy中固定commons-text的安全版本，确保所有传递依赖都使用该版本：

   buildscript {
       configurations.all {
           resolutionStrategy {
               force 'org.apache.commons:commons-text:1.10.0'
           }
       }
       repositories {
           // 你的仓库配置
       }
       dependencies {
           // 原有的依赖配置
       }
   }
   

内容的提问来源于stack exchange，提问作者Jakub Zaverka