如何在外部库中更新 package 版本

Question

我想更新这个包的版本，但是我在根目录下的 pom 文件中没有找到这个 package

我怎样才能更新这个包的版本？ 是不是需要直接在Maven package下的pom文件里做？

这是我的依赖树，我想升级到 1.31

Answer 1

如果你在你的 pom 中找不到它，那么这意味着它是由你的其他依赖项之一引入的传递依赖项。 你可以在你的 pom 中将它重新定义为一个正常的依赖，它会覆盖你喜欢的版本。

Answer 2

如果您不直接使用它，那么它来自您的依赖项之一。 您可以检查使用哪个

mvn dependency:tree

使用IntelliJ IDEA，也可以打开Maven视图，然后右击项目和select“Analyze Dependencies…”得到同样的信息。

理想情况下，您应该将它保留为传递依赖项，否则每次升级实际依赖它的库时都必须处理它的升级。 此外，如果您仅升级传递依赖项而不升级中间依赖项（例如Spring ），则可能会出现问题。

因此，最好的解决方案是升级该中间依赖项，假设他们已经发布了它的新版本（SnakeYAML 1.29 受 CVE-2022-25857 影响，很有可能）。

只有当你不能这样做时，你才应该在你的 pom.xml 的<dependencyManagement>部分添加依赖，但不要忘记从现在开始维护它（并在中间依赖升级后删除它）。