Почему maven загружает несколько версий зависимостей, когда я впервые запускаю version-maven-plugin? - PullRequest
Новая
       23

Почему maven загружает несколько версий зависимостей, когда я впервые запускаю version-maven-plugin?

0 голосов
/ 28 июня 2019

Я пытаюсь удалить версию commons-beanutils из моей локальной репозитории .m2 из-за известной уязвимости https://www.cvedetails.com/vulnerability-list/vendor_id-45/product_id-33761/Apache-Commons-Beanutils.html.

Однако, когда я впервые использую плагин Version-maven для версии своих артефактов, он автоматически загружает несколько версий зависимости. 

Downloaded from maven: https://repo1.maven.org/maven2/commons-beanutils/commons-beanutils/1.9.3/commons-beanutils-1.9.3.pom (15 kB at 29 kB/s)
Downloading from maven: https://repo1.maven.org/maven2/commons-beanutils/commons-beanutils/1.7.0/commons-beanutils-1.7.0.pom
Downloaded from maven: https://repo1.maven.org/maven2/commons-beanutils/commons-beanutils/1.7.0/commons-beanutils-1.7.0.pom (357 B at 6.4 kB/s)
Downloading from maven: https://repo1.maven.org/maven2/commons-beanutils/commons-beanutils/1.6/commons-beanutils-1.6.pom
Downloaded from maven: https://repo1.maven.org/maven2/commons-beanutils/1.6/commons-beanutils-1.6.pom (2.3 kB at 50 kB/s)
Downloading from maven: https://repo1.maven.org/maven2/commons-beanutils/commons-beanutils/1.9.3/commons-beanutils-1.9.3.jar
Downloaded from maven: https://repo1.maven.org/maven2/commons-beanutils/commons-beanutils/1.9.3/commons-beanutils-1.9.3.jar (246 kB at 1.8 MB/s)

Я попытался переопределить версию зависимости плагина в файле pom. 

        <pluginManagement>
            <plugins>
                <plugin>
                    <groupId>org.codehaus.mojo</groupId>
                    <artifactId>versions-maven-plugin</artifactId>
                    <version>2.7</version>
                    <dependencies>
                        <dependency>
                            <groupId>commons-beanutils</groupId>
                            <artifactId>commons-beanutils</artifactId>
                            <version>1.9.3</version>
                            <scope>compile</scope>
                        </dependency>
                    </dependencies>
                </plugin>
            </plugins>
        </pluginManagement>

Но это все равно рушит несколько версий.

У каждого есть объяснение, почему maven загружает несколько версий одной и той же зависимости, даже если указана конкретная версия.

Чтобы было понятно, плагин разрешает использовать правильную версию 1.9.3, мне просто интересно, почему сразу загружается несколько версий зависимости?

Приветствия

...