Что такое транзитивная зависимость в контексте систем сборки (Maven/Gradle)?

Транзитивная зависимость — это зависимость, которая автоматически включается в проект, потому что она требуется одной из его прямых зависимостей. Если библиотека A зависит от библиотеки B, а B зависит от библиотеки C, то C становится транзитивной зависимостью для проекта A.

Как это выглядит на практике (Maven):

<!-- Прямая зависимость проекта -->
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-core</artifactId>
    <version>6.1.0</version>
</dependency>
<!-- spring-core, в свою очередь, зависит от commons-logging -->
<!-- Таким образом, commons-logging становится транзитивной зависимостью проекта -->

Потенциальные проблемы:

1. Конфликт версий: Две прямые зависимости могут требовать разных, несовместимых версий одной транзитивной библиотеки.
2. Нежелательные зависимости: В проект может «просочиться» ненужная или даже уязвимая библиотека.
3. Раздувание размера: Включаются библиотеки, которые фактически не используются.

Управление транзитивными зависимостями:

• Maven: Исключение (Exclusion)

  <dependency>
      <groupId>org.springframework</groupId>
      <artifactId>spring-core</artifactId>
      <version>6.1.0</version>
      <exclusions>
          <exclusion>
              <groupId>commons-logging</groupId>
              <artifactId>commons-logging</artifactId>
          </exclusion>
      </exclusions>
  </dependency>

• Gradle: Конфигурации implementation vs api и исключения.

  • implementation: Зависимость не «просачивается» к потребителям вашей библиотеки (рекомендуется по умолчанию).
  • api: Зависимость становится транзитивной для потребителей.

    dependencies {
    implementation('org.springframework:spring-core:6.1.0') {
        exclude group: 'commons-logging', module: 'commons-logging'
    }
    }

Почему это важно: Понимание транзитивности необходимо для управления размером приложения, разрешения конфликтов и обеспечения безопасности зависимостей.