maven pom doesn't specify transitive dependencies about validator HOT 2 OPEN

verstehe ich Sie richtig, dass Ihnen eine explizite "Bill of Materials" (BOM) wie z.B. hier dargestellt: https://reflectoring.io/maven-bom/ eine ausreichende Lösung darstellen würde?

from validator.

Hallo!
tl;dr; nein, leider nicht
Warum
Wir arbeiten mit sbt (nicht maven). Das nutzt Coursier/oder Ivy zum Aufloesen von Dependencies, nicht Maven. Daher wuerde uns ein BOM tatsaechlich ueberhaupt nicht weiterhelfen, denn meines Wissens supported Coursier BOMs nicht korrekt. Aber selbst bei Nutzung von Maven wuerden doch im Leaf-POM nur die Versionsangaben wegfallen, richtig ? Wenn im Library-POM dessen benoetigte Dependencies nicht spezifiziert sind - was hier die Ursache des Problems ist -, muss das Leaf-POM (also die Applikation) die immer noch angeben. Bei Vorliegen einer BOM halt nur ohne Versionsangabe und nur, wenn sie denn in der BOM explizit auftauchen. Und selbst dann wuerde noch die Versionsselektion verfaelscht. Man spart also nur dann was, wenn man durchgaengig maven nutzt. Alle anderen (Gradle?; Mill, SBT) muessen sich dann noch die korrekten Versionsnummern aus mehreren BOMS heraussuchen.

from validator.