如何优化pom依赖项？

Maven工程经过pom.xml里的<dependency>来定义依赖项。固然，咱们不会少定义依赖项，不然编译不经过。不过，若是咱们多定义了依赖项虽然不会形成灾难，但可能会形成一些问题，好比：

• 多余的依赖项形成阅读和理解的困难。
• Spring的@ComponentScan将扫描出多余的组件。特别地，若是这些组件还须要配置才能使用则形成一些意想不到的问题，而且发现和纠正这些问题也比较困难。
• 若是多余的依赖项为compile或runtime做用域，则其它依赖本工程的工程也将依赖这个多余的工程。若是运行时出了问题则更难处理。

所以，咱们但愿在pom.xml里定义的依赖项很少很多，而且其做用域（<scope>）也恰到好处，恰好知足本工程的须要。问题是该如何进行检查呢？答案是使用maven-dependency-plug插件。

maven-dependency-plugin插件简介

maven-dependency-plugin用于管理依赖项，提供了多个可执行的goal，在此咱们只关心其中的analyze和tree两个。

下面是dependency:analyze的一个输出样例片段：

>mvn dependency:analyze

[INFO] --- maven-dependency-plugin:2.8:analyze (default-cli) @ wtp-core ---
[WARNING] Used undeclared dependencies found:
[WARNING]    org.springframework:spring-beans:jar:3.2.3.RELEASE:compile
[WARNING] Unused declared dependencies found:
[WARNING]    junit:junit:jar:4.7:test
[WARNING]    org.springframework:spring-test:jar:3.2.3.RELEASE:test
[WARNING]    org.slf4j:jcl-over-slf4j:jar:1.6.1:runtime
[WARNING]    org.slf4j:slf4j-log4j12:jar:1.6.1:runtime
[WARNING]    commons-lang:commons-lang:jar:2.5:test

官方文档里说，dependency:analyze是经过分析bytecode来输出报告。上面的输出有两部分，一是Used undeclared dependencies（使用但未定义的依赖项），二是Unused declared dependencies（未使用但却定义的依赖项）。

• Used undeclared dependencies
  该列表列出的是程序代码直接用到的、但并没在pom.xml里定义的依赖项。
• Unused declared dependencies
  该列表列出的是程序代码没用到的、但在pom.xml里定义的依赖项。注意，该列表可能不许确，由于程序代码可能使用了反射技术，在运行时须要这些jar包存在。

再说说dependency:tree，下面是一个输出样例片段：

>mvn dependency:tree

com.wisetop.wtp:wtp-core:jar:2.2.1-SNAPSHOT
+- junit:junit:jar:4.7:test
+- org.springframework:spring-test:jar:3.2.3.RELEASE:test
+- org.slf4j:slf4j-api:jar:1.6.1:compile
+- org.slf4j:jcl-over-slf4j:jar:1.6.1:runtime
+- org.slf4j:slf4j-log4j12:jar:1.6.1:runtime
|  \- log4j:log4j:jar:1.2.16:runtime
+- org.springframework:spring-core:jar:3.2.3.RELEASE:compile
|  \- commons-logging:commons-logging:jar:1.1.1:provided
+- org.springframework:spring-context:jar:3.2.3.RELEASE:compile
|  +- org.springframework:spring-aop:jar:3.2.3.RELEASE:compile
|  +- org.springframework:spring-beans:jar:3.2.3.RELEASE:compile
|  \- org.springframework:spring-expression:jar:3.2.3.RELEASE:compile
+- org.springframework:spring-tx:jar:3.2.3.RELEASE:compile
|  \- aopalliance:aopalliance:jar:1.0:compile
+- org.springframework:spring-context-support:jar:3.2.3.RELEASE:compile
+- commons-beanutils:commons-beanutils:jar:1.8.3:compile
+- dom4j:dom4j:jar:1.6.1:compile
|  \- xml-apis:xml-apis:jar:1.0.b2:compile
+- com.wisetop.extra.oracle:wt-oracle-xdb6:jar:11.2.0.3:compile
|  \- com.wisetop.extra.oracle:wt-oracle-ojdbc6:jar:11.2.0.3:compile
+- commons-lang:commons-lang:jar:2.5:test
+- org.quartz-scheduler:quartz:jar:1.7.3:compile
+- commons-codec:commons-codec:jar:1.4:compile
\- javax.servlet:javax.servlet-api:jar:3.0.1:provided

该命令列出了各依赖项、以及传递出来的依赖项。经过此命令咱们能够识别出依赖项来自何处，特别地，若是你只关心某个特定的依赖项，好比上面的log4j是怎么出来的，你可加上过滤条件：

>mvn dependency:tree -Dincludes=log4j:log4j

[INFO] --- maven-dependency-plugin:2.8:tree (default-cli) @ wtp-core ---
[INFO] com.wisetop.wtp:wtp-core:jar:2.2.1-SNAPSHOT
[INFO] \- org.slf4j:slf4j-log4j12:jar:1.6.1:runtime
[INFO]    \- log4j:log4j:jar:1.2.16:runtime

固然，你能够简写为：

>mvn dependency:tree -Dincludes=*:log4j

其输出是同样的。

另外，一个依赖项可能来自多处，你可加上"-Dverbose"参数进行查看。例如，下面的命令将显示spring-core可来自多处：

>mvn dependency:tree -Dincludes=*:spring-core -Dverbose

[INFO] --- maven-dependency-plugin:2.8:tree (default-cli) @ wtp-core ---
[INFO] com.wisetop.wtp:wtp-core:jar:2.2.1-SNAPSHOT
[INFO] +- org.springframework:spring-test:jar:3.2.3.RELEASE:test
[INFO] |  \- (org.springframework:spring-core:jar:3.2.3.RELEASE:test - omitted for duplicate)
[INFO] +- org.springframework:spring-core:jar:3.2.3.RELEASE:compile
[INFO] +- org.springframework:spring-context:jar:3.2.3.RELEASE:compile
[INFO] |  +- org.springframework:spring-aop:jar:3.2.3.RELEASE:compile
[INFO] |  |  \- (org.springframework:spring-core:jar:3.2.3.RELEASE:compile - omitted for duplicate)
[INFO] |  +- org.springframework:spring-beans:jar:3.2.3.RELEASE:compile
[INFO] |  |  \- (org.springframework:spring-core:jar:3.2.3.RELEASE:compile - omitted for duplicate)
[INFO] |  +- (org.springframework:spring-core:jar:3.2.3.RELEASE:compile - omitted for duplicate)
[INFO] |  \- org.springframework:spring-expression:jar:3.2.3.RELEASE:compile
[INFO] |     \- (org.springframework:spring-core:jar:3.2.3.RELEASE:compile - omitted for duplicate)
[INFO] +- org.springframework:spring-tx:jar:3.2.3.RELEASE:compile
[INFO] |  \- (org.springframework:spring-core:jar:3.2.3.RELEASE:compile - omitted for duplicate)
[INFO] \- org.springframework:spring-context-support:jar:3.2.3.RELEASE:compile
[INFO]    \- (org.springframework:spring-core:jar:3.2.3.RELEASE:compile - omitted for duplicate)

该输出显示，咱们在pom.xml里直接依赖了spring-core，而且告诉咱们若是咱们不直接依赖spring-core的话则它也可能来自何处。

关于更多使用方法请参见dependency:tree的说明文档，以及过滤依赖树。

使用maven-dependency-plugin对pom.xml文件进行优化

上面说到，优化的目标是很少很多地定义依赖项。不只依赖项的个数要很少很多，并且依赖项的做用域也要恰到好处。其验证方法是：

1. 检查是否少定义了依赖项，即执行mvn clean dependency:analyze后，应
• 没有Used undeclared dependencies列表。
• Unused declared dependencies列表中的依赖项需人工判断是否有必要存在，若无必要则请删除。
  
  特别地，对于其中的compile和test依赖项，若是不须要或能被其它依赖项传递带出则请删除。检查方法是：先删除该依赖项重试。若是重试成功则保持删除，若是不成功则改成test再重试，若是重试不成功则改成compile。若是你熟悉dependency:tree命令，你也能够从该命令的输出直接看到预期的结果。
  
  既然咱们的代码没用到那个依赖项，为何删除该依赖项可能致使编译不经过呢？这可能的缘由是咱们所依赖的依赖项其自己又依赖了其它依赖项，但它们之间是provided或optional关系，致使不传递依赖。
2. 检查是否多定义了依赖项，并检查做用域是否认大了，即执行
   mvn clean dependency:analyze -Dmaven.test.skip=true后，应
• 没有Used undeclared dependencies列表。上面第一步经过后，这里确定不会出现该列表。
• Unused declared dependencies列表中能够含有任意做用域的依赖项。咱们须要去检查可否缩小做用域的范围，特别地，须要重点检查compile做用域是否能缩小到test、provided、runtime和system，若是能则改之。
3. 以上步骤中若是修改了pom.xml文件，则请回到第一步从新开始验证，以保证优化前能编译经过。
4. 执行mvn clean test命令作进一步验证。

须要特别说明的是：

• 上面第一步是检查main/java和test/java中全部的代码，并保证能编译经过、而且没缺乏依赖项（即没有Used undeclared dependencies列表），但可能多定了依赖项。
• 第二步比第一步多了“-Dmaven.test.skip=true”参数，使得只生成target/classes、不生成target/test-classes，其含义是仅检查main/java中的代码，其意图是，咱们但愿找到那些仅被main/java或test/java用到的依赖项，以此尽可能缩小做用域、使得做用域定义得恰到好处。
  
  对于某个依赖项，
• 若是被main/java用到，则不管是否被test/java用到，其做用域都以main/java为准。
• 若是被test/java用到，而且被main/java间接用到，则做用域也以main/java为准。
  
  请考虑这样一个场景，假设有A、B两个依赖项，而且A依赖于B。若是main/java只用到A、没用到B，而test/java用到B，则需把B定义为与A同样的做用域。须要说明的是，
  • 若是test/java也没用到B，则根本就不须要定义B。Maven的传递依赖机制将会自动带出B。
  • 即便main/java没直接用到B，但编译时可能须要B存在。例如，A中的某个对象继承了B中的对象，而且咱们当前又再次继承了A中的这个对象。
• 若是仅被test/java用到，则做用域可定义为test。
• 上面说的“以main/java为准”的含义是保持与Maven的依赖机制相同。
• 上面命令都带上了clean，除非你清楚命令的含义不然不要去掉。特别地，maven-dependency-plugin所分析的不是源程序，而是编译后的bytecode。
• 你可经过执行dependency:tree来查看依赖项出自何处，以及你在pom里定义的依赖项自己又传递出来了哪些其它依赖项。
• 最后，若是你的系统是多模块工程，则最好从底向上逐个优化pom，而且，每当你完成优化了一个工程后不要忘记了执行mvn install，这是由于在你继续到下一个工程时，dependency:analyze只从Maven库中去找其所依赖的pom.xml文件。