CycloneDX Gradle插件生成BOM未包含项目依赖求助

问题核心原因 #

你的BOM未包含依赖，主要是因为Android项目的Gradle依赖配置逻辑和标准Java项目不同，旧版本插件对Android的适配也存在局限性。Android的依赖配置是按buildType（如debug/release）拆分的，而非通用的compileClasspath/runtimeClasspath。

分步解决方案 #

1. 调整CycloneDX配置，适配Android的Gradle结构 #

修改cyclonedxBom块，指定Android项目特有的依赖配置，并明确项目类型：

cyclonedxBom {
    // 包含debug和release变体的runtime配置，确保抓取所有业务依赖
    includeConfigs = ["debugRuntimeClasspath", "releaseRuntimeClasspath"]
    // 明确项目类型为application（默认是library，会导致依赖识别逻辑偏差）
    projectType = "application"
}

2. 升级CycloneDX插件版本 #

你使用的1.6.1版本发布于2022年，对新版Android Gradle Plugin的兼容性不足。建议升级到最新稳定版（截至2024年为v1.7.4）：

plugins {
    id 'com.android.application'
    id 'org.cyclonedx.bom' version '1.7.4'
}

3. 执行对应变体的生成命令 #

Android项目的CycloneDX任务是按变体拆分的，可按需执行：

# 生成debug变体的BOM
./gradlew app:debugCyclonedxBom
# 生成release变体的BOM
./gradlew app:releaseCyclonedxBom
# 生成所有变体的BOM（默认任务）
./gradlew app:cyclonedxBom

4. 验证结果 #

执行命令后，查看build/reports目录下的bom.xml，确认新增的<components>节点中已包含项目依赖。

完整配置示例 #

调整后的build.gradle关键片段：

plugins {
    id 'com.android.application'
    id 'org.cyclonedx.bom' version '1.7.4'
}

cyclonedxBom {
    includeConfigs = ["debugRuntimeClasspath", "releaseRuntimeClasspath"]
    projectType = "application"
}

// 后续Android配置、依赖声明保持不变

内容的提问来源于stack exchange，提问作者Morgan