Как проверить наличие обновлений зависимостей в Gradle?

Каждый раз, добавляя новую библиотеку в проект, встаёт вопрос о том, можно ли обойтись без неё. И не удивительно, ведь нам, разработчикам, и так приходится поддерживать зоопарк библиотек в наших проектах. Каждая новая добавляет рутинной работы по поиску, обновлению и миграции библиотек на новые версии. И если миграцию на новые версии за нас никто не выполнит, то поиск обновлений можно автоматизировать. Именно об этом, Я и расскажу в этой статье.

А зачем вообще обновлять зависимости?

Мы живём в 21ом веке, веке цифровизации всего и вся. Каждый день очередная группировка хакеров взламывает информационные системы очередной компании. Это актуально особенно сейчас, когда геополитическая обстановка изменилась.

Многие попытки взломать информационную систему завершаются успехом из-за того, что создатель самой информационной системы не удосужился обновлять кодовую базу и используемые зависимости вовремя. В любом софте, любых библиотеках и фреймворках находятся уязвимости, используемые для взлома. Вспомнить хотя бы громкую находку в Apache Log4j, которая заставила буквально всех разработчиков срочно вносить исправления в собственные системы.

Для решения проблемы использования устаревших библиотек давно созданы сервисы вроде Dependabot или Renovate. Однако, для Java разработчиков, есть способы получать информацию о имеющихся обновлениях гораздо проще и быстрее - gradle-versions-plugin.

Gradle Versions Plugin

Информацию о проекте и инструкции можно найти на официальной странице проекта на GitHub.

Установка

Для того, чтобы начать использовать плагин в Вашем gradle проекте, достаточно добавить плагин в Ваш build.gradle файл проекта. В секцкию plugins нужно включить следующее объявление:

id 'com.github.ben-manes.versions' version '0.47.0'

где 0.47.0 - это наиболее актуальная версия плагина на момент написания статьи.

И это всё.

Использование

С добавлением плагина, в Вашем gradle проекте появилась новая таска - dependencyUpdates, которая и формирует отчёт о состоянии зависимостей Вашего проекта. Чтобы воспользоваться новой таской, достаточно выполнить следующую команду:

gradle dependencyUpdates

Полный отчёт по зависимостям, используемым в проекте будет выведен в терминал.

Пример

Теперь посмотрим на живой пример того, как выглядит работа плагина. Для этого, я создал сгенерировал новый Java проект, используя команду gradle init. Ответив на все вопросы генератора, я получил проект с небольшим количество зависимостей - самое то, для демонстрации работы плагина.

После добавления плагина в проект, мой build.gradle файл стал выглядеть следующим образом:

 plugins {
     id 'application'
     id 'com.github.ben-manes.versions' version '0.47.0'
 }
 
 repositories {
     mavenCentral()
 }
 
dependencies {
    implementation 'com.google.guava:guava:31.1-jre'
}

testing {
    suites {
        test {
            useJUnitJupiter('5.8.0')
        }
    }
}

application {
    mainClass = 'ru.anverbogatov.App'
}

Выполним gradle dependencyUpdates для получения отчёта о наличии обновлений зависимостей нашего проекта:

 $ gradle dependecyUpdates
 
 > Task :app:dependencyUpdates
 
 ------------------------------------------------------------
 :app Project Dependency Updates (report to plain text file)
 ------------------------------------------------------------
 
 The following dependencies are using the latest milestone version:
 - com.github.ben-manes.versions:com.github.ben-manes.versions.gradle.plugin:0.47.0
 - com.google.guava:guava:31.1-jre

The following dependencies have later milestone versions:
 - org.junit.jupiter:junit-jupiter [5.8.0 -> 5.9.1]
     https://junit.org/junit5/

Gradle release-candidate updates:
 - Gradle: [7.6: UP-TO-DATE]

Generated report file build/dependencyUpdates/report.txt

Из отчёта сразу же видно, что версия JUnit, используемая в проекте, имеет обновления:

The following dependencies have later milestone versions:

org.junit.jupiter:junit-jupiter [5.8.0 -> 5.9.1]

Исправим версию JUnit в проекте на последнюю, обновив номер версии в build.gradle файле:

...
testing {
  suites {
    test {
      useJUnitJupiter('5.9.1')
    }
  }
}
...

И выполним команду gradle dependecyUpdates ещё раз, для того, чтобы убедиться, что теперь мы используем самые свежие версии зависимостей:

$ gradle dependencyUpdates
 
> Task :app:dependencyUpdates

------------------------------------------------------------
:app Project Dependency Updates (report to plain text file)
------------------------------------------------------------

The following dependencies are using the latest milestone version:
- com.github.ben-manes.versions:com.github.ben-manes.versions.gradle.plugin:0.47.0
- com.google.guava:guava:31.1-jre
- org.junit.jupiter:junit-jupiter:5.9.1

Gradle release-candidate updates:
 - Gradle: [7.6: UP-TO-DATE]

Generated report file build/dependencyUpdates/report.txt

Теперь, наш проект использует самые последние версии библиотек.

Заключение

gradle-versions-plugin прекрасно работает как на небольших проектах, так и на больших multi-project gradle проектах, со множеством библиотек. Особенно удобно получать информацию о наличии новых версий в Spring Boot проектах, где количество различных зависимостей огромно.

Консольная команда и вывод отчёта в терминал, так же делают данный плагин превосходным кандидатом на включение в Ваши CI pipeline'ы.

Список материалов

• Страница проекта на GitHub

Дополнительные материалы