CycloneDX Gradle插件生成SBOM时POM解析失败问题求助

1. 纯Gradle项目中该插件为何会查找POM文件？ #

• CycloneDX生成SBOM时需要收集依赖的完整元数据（比如许可证、依赖层级细节等），虽然Gradle本身不依赖POM，但Java生态里多数依赖的元数据都存储在POM中。
• 从1.7.x版本起，插件的依赖解析逻辑做了调整，会尝试通过POM补全更详细的信息——哪怕是项目内部的子项目，它也会按Maven构件的逻辑处理，因此会去查找对应的POM文件。而1.6.1版本的逻辑更贴近Gradle原生，不会主动拉取POM，所以没这个问题。
• 你用的是SNAPSHOT版本的子项目，本地大概率没生成对应的POM文件，或者插件没正确识别本地子项目的构件，所以触发了“无法解析POM”的错误。

2. 该报错是否会影响SBOM中依赖的完整性？ #

• 不会完全破坏SBOM的核心依赖信息，但会丢失部分元数据：
  • 插件生成SBOM的核心逻辑基于Gradle的依赖解析结果，只要子项目间的依赖关系能被Gradle正确识别，SBOM里会包含子项目的基本信息（groupId、artifactId、版本）。
  • 但POM解析失败会导致许可证、依赖描述、父项目信息这类额外元数据无法填充到SBOM中。如果你的SBOM只需要核心依赖树，影响不大；如果需要完整的元数据，就会有缺失。
  • 至于detachedConfiguration1的错误，是插件在临时配置中解析依赖时出现的，只要主配置的依赖解析正常，核心的依赖条目都会被包含。

内容的提问来源于stack exchange，提问作者Ravi