Qual è l'ambito Maven corretto delle annotazioni findbugs?

Question

Voglio usare una libreria che ha la seguente dipendenza:

<dependency> 
    <groupId>com.google.code.findbugs</groupId> 
    <artifactId>annotations</artifactId> 
    <version>2.0.3</version> 
</dependency> 

Ho letto che FindBugs è per l'analisi statica del codice Java, quindi anche se non è necessario includere nell'applicazione. È sicuro escludere il barattolo con <scope>provided</scope> o con un <exclusion>...</exclusion>?

Un motivo per escluderlo è che esiste una politica aziendale contro la licenza (L) GPL.

Answer 1

In teoria, dovrebbe essere completamente sicuro (come definito nel commento di chiarimento dell'OP) per escludere la dipendenza transitiva di Findbugs. Se usato correttamente, Findbugs dovrebbe essere usato solo quando si costruisce la libreria, non usandola. È probabile che qualcuno abbia dimenticato di aggiungere <scope>test</scope> alla dipendenza di Findbugs.

Quindi, andare avanti e provare l'esclusione. Esegui l'applicazione. Vengono visualizzati errori del percorso di classe, funzionalità dell'applicazione correlate alla libreria che non funziona o si vedono messaggi nei log che sembrano non essere disponibili per i Findbug? Se la risposta è sì, personalmente ripenserò utilizzando questa particolare libreria nella mia applicazione e cercherò di trovare un'alternativa.

Inoltre, congratulazioni per il controllo del classpath in primo piano! Come pratica generale, è una buona idea fare ciò che hai fatto ogni volta che includi una libreria nella tua applicazione: aggiungi la libreria, quindi controlla quali altre dipendenze transitive ci sono e procedi alla pulizia del classpath necessaria all'inizio . Quando faccio questo trovo che rende le mie sessioni di debug molto più brevi.

Answer 2

Sì, puoi tranquillamente escludere questa libreria. Contiene solo annotazioni che non devono essere presenti in fase di runtime. Abbi cura di averli disponibili per l'analisi di FindBugs, però.

nota che si dovrebbe anche elencare jsr305.jar, in questo modo:

<dependency> 
    <groupId>com.google.code.findbugs</groupId> 
    <artifactId>annotations</artifactId> 
    <version>3.0.2</version> 
    <scope>provided</scope> 
</dependency> 
<dependency> 
    <groupId>com.google.code.findbugs</groupId> 
    <artifactId>jsr305</artifactId> 
    <version>3.0.2</version> 
    <scope>provided</scope> 
</dependency> 

Entrambi i vasi sono tenuto a fare queste annotazioni funzionano.

Verificare il most recent findbugs version in Maven Central.

FindBugs è fornito sotto la LGPL, quindi non ci dovrebbero essere problemi per la vostra azienda. Inoltre, sei semplicemente utilizzando FindBugs; non stai sviluppando qualcosa derivato da FindBugs.