Что такое транзитивные зависимости и как ими управлять?

Транзитивные зависимости — это библиотеки, которые автоматически подключаются к проекту, потому что они требуются вашими прямыми зависимостями. Управление ими критически важно для избежания конфликтов версий и security-уязвимостей.

1. Проблемы транзитивных зависимостей:

• Конфликт версий: Разные библиотеки требуют разные версии одной транзитивной зависимости
• Раздувание сборки: Ненужные библиотеки увеличивают размер артефакта
• Уязвимости: Устаревшие версии могут содержать security issues
• Лицензионные конфликты: Несовместимые лицензии транзитивных зависимостей

2. Анализ зависимостей:

# Maven: отобразить дерево зависимостей
mvn dependency:tree
# С фильтрацией по группе или артефакту
mvn dependency:tree -Dincludes=com.google.guava:*

# Gradle: отобразить зависимости
./gradlew dependencies
# Для конкретной конфигурации
./gradlew app:dependencies --configuration implementation

3. Управление в Maven:

<!-- 1. Dependency Management для централизованного контроля версий -->
<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>com.fasterxml.jackson.core</groupId>
            <artifactId>jackson-databind</artifactId>
            <version>2.15.0</version> <!-- Фиксируем версию для всех модулей -->
        </dependency>
    </dependencies>
</dependencyManagement>

<!-- 2. Исключение конкретной транзитивной зависимости -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-tomcat</artifactId>
        </exclusion>
    </exclusions>
</dependency>

4. Управление в Gradle:

// 1. Исключение из конкретной зависимости
implementation('org.springframework.boot:spring-boot-starter-web') {
    exclude group: 'org.springframework.boot', module: 'spring-boot-starter-tomcat'
}

// 2. Глобальные правила разрешения конфликтов
configurations.all {
    resolutionStrategy {
        // Принудительно использовать конкретную версию
        force 'com.google.guava:guava:32.0.0-jre'

        // Предпочитать последнюю версию при конфликте
        failOnVersionConflict()

        // Отключать транзитивные зависимости для всех
        // transitive = false // Не рекомендуется, лучше точечные exclude
    }
}

// 3. Запрет уязвимых версий через constraints
dependencies {
    constraints {
        implementation('org.apache.logging.log4j:log4j-core') {
            version {
                strictly '[2.17.0,)' // Запрещаем уязвимые версии <2.17.0
            }
        }
    }
}

5. Best Practices:

• Регулярно обновлять зависимости (mvn versions:display-dependency-updates)
• Использовать SCA-инструменты (Software Composition Analysis): Dependabot, Snyk, OWASP Dependency-Check
• Фиксировать версии в CI/CD через dependency-lock файлы (Gradle) или maven-lockfile
• Проверять лицензии (license-maven-plugin, gradle-license-plugin)
• Минимизировать количество прямых зависимостей