網站地圖Maven Transitive Dependencies

Question

在我的組織內部，我受到IT安全機構的嚴格監管。因此，所有對Maven鏡像的訪問都是被禁止的。但是，我可以提供我需要的依賴關係的詳細信息，以便IT安全人員可以執行他們的檢查/掃描，並希望爲我下載二進制文件。

然後我將這些安裝在我的本地maven倉庫中，這意味着它們可以免費提供給我的團隊在防火牆內。

maven的美妙之處在於它可以識別和下載傳遞依賴。但是，無法訪問外部POM文件，我無法通過Maven依賴關係執行這些檢查：tree。

因此，我必須一次性向IT部門提供依賴關係。考慮到一些依賴鏈的深度，這可能需要相當長的一段時間才能回到IT部門。或者，我在家裏做依賴關係：樹，並把結果寄給自己。

我想知道如果有人有任何網站的建議，我可以查詢這些信息？所以如果我想（說）log4j：1.2.17，它會告訴我，我也需要問javax.mail：mail：1.4.3。

Answer 1

不幸的是，我不知道有任何網站會給你完整的傳遞依賴信息，但有一個很好的解決方案到底層問題。

即，您可以嘗試說服管理層使用具有工件審計功能的資源庫管理器。

Sonatype的的Nexuscertainly has this（見 「神器採購」），JFrog Artifactory的seems to enable this as well（通過許可證管理「），無論是在付費版本的附加功能。

這種做法將節省時間和金錢從長遠來看，倉庫經理多那麼脆弱比共享本地回購：

• 他們是一個明確的耳鼻喉科（和Maven有特定的設置明確打算與他們合作），
• 他們有專門的認證/授權機制，可以使你的公司現有的，
• 你可以使用部署插件與他們正確發佈構建構件，
• 等等，等等

，可能你的安全車身的晃動了另一個相關的原因是，你可以使用同樣的審計程序，無論是外部和內部文物。