MAVEN依赖的优先原则

MAVEN依赖的优先原则

maven依赖的优先原则
1.依赖最短路径优先原则
一个项目Demo依赖了两个jar包，其中A-B-C-X(1.0) ， A-D-X(2.0)。由于X(2.0)路径最短，所以项目使用的是X(2.0)。
2.pom文件中申明顺序优先
如果A-B-X(1.0) ，A-C-X(2.0) 这样的路径长度一样怎么办呢？这样的情况下，maven会根据pom文件声明的顺序加载，如果先声明了B，后声明了C，那就最后的依赖就会是X(1.0)。
3. 覆盖优先原则
子pom内声明的优先于父pom中的依赖。
实际使用
背景：FastJson远程代码执行漏洞，攻击者可以通过提交精心构造的JSON数据实现远程代码执行，造成OOM，项目中使用的fastJson版本1.2.16过低 存在该漏洞，现升级为1.2.56
 

图1.png
 

图2.png

通过上面图一，图二可以看出实际项目fastjson属于被动依赖，项目没有主动引入。按照依赖的优先原则，
a-(durian-conf-client)-(fastjson1.2.16)
a-(rf-login)-(fastjson1.2.44)
durian-conf-client在rf-login之前申明
所以最终项目使用的是fastjson1.2.16。
最终项目申明fastjson 1.2.56。

来源：oschina

链接：https://my.oschina.net/wangen2009/blog/4916002