Maven安装同一依赖项的多个版本

Question

Maven插件（maven-compiler-plugin： 3.8.1和maven-surefire-plugin： 3.0.0-M3）在运行mvn清洁包时似乎正在下载同一依赖项（plexus-utils）的多个版本，即使我在依赖项中指定了plexus-utils的最新版本。这不会导致任何错误，但3.0.16之前的任何版本的plexus-utils都容易受到命令注入的影响。有没有办法阻止这种情况发生？

编辑：根据下面的建议，我尝试包含排除，但我认为这仅适用于依赖项而不是插件。

             <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <version>3.8.1</version>
                <exclusions>
                    <exclusion>
                        <groupId>org.codehaus.plexus</groupId>
                        <artifactId>plexus-utils</artifactId>
                    </exclusion>
                </exclusions>
            </plugin>

Answer 1

对我来说，我刚刚在下面指定了maven构建插件，

spring-boot-maven-plugin

我强迫我的版本

<plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
                <configuration>
                    <includeSystemScope>true</includeSystemScope>
                </configuration>
                <dependencies>
                    <dependency>
                        <groupId>commons-codec</groupId>
                        <artifactId>commons-codec</artifactId>
                        <version>1.14</version>
                    </dependency>
                </dependencies>
            </plugin>

但它仍然显示了“plexus utils”和“commons codec”的较旧库版本。

然后查看jenkins日志，它实际上运行了其他插件，如

>

maven安装插件

maven编译器插件

所以我需要添加这些插件，并在每个插件中强制我的依赖关系。

<plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <dependencies>
                    <dependency>
                        <groupId>org.codehaus.plexus</groupId>
                        <artifactId>plexus-utils</artifactId>
                        <version>3.3.0</version>
                    </dependency>
                    <dependency>
                        <groupId>commons-codec</groupId>
                        <artifactId>commons-codec</artifactId>
                        <version>1.14</version>
                    </dependency>
                </dependencies>
            </plugin>

Answer 2

虽然您不能排除插件的依赖项（就像您可以排除其他依赖项一样），但您可以指定将用于特定插件的确切版本。

如果您有父POM或任何其他链接的POM，您可能需要将其添加到使用它的每个插件或依赖项：

<plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-compiler-plugin</artifactId>
    <version>3.8.1</version>
    <dependencies>
        <dependency>
            <groupId>org.codehaus.plexus</groupId>
            <artifactId>plexus-utils</artifactId>
            <version>3.0.16</version>
        </dependency>
    </dependencies>
</plugin>