CycloneDX BOM未抓取项目全部依赖，如何获取所有依赖？

针对你执行.\dotnet-CycloneDX.exe D:\Folder_Project\Project.sln -r -o c:\binaries\output\DevExpT仅抓取少量依赖的问题，可按以下步骤排查解决：

• 先确保项目依赖已完全还原
  CycloneDX需要读取本地已还原的NuGet包信息才能生成完整BOM。先执行：

  dotnet restore D:\Folder_Project\Project.sln
  

  等待所有依赖下载完成后，再重新运行CycloneDX命令。

• 补充必要的命令参数

  • 若项目包含开发依赖（如测试框架、代码分析工具），默认不会被抓取，需添加-d参数包含开发依赖：

    .\dotnet-CycloneDX.exe D:\Folder_Project\Project.sln -r -d -o c:\binaries\output\DevExpT
    

  • 若解决方案包含多个目标框架，需用-f参数指定具体框架版本，避免仅抓取默认框架的依赖，例如：

    .\dotnet-CycloneDX.exe D:\Folder_Project\Project.sln -r -d -f net6.0 -o c:\binaries\output\DevExpT
    

• 排查项目引用类型

  • 检查解决方案内的项目间引用：如果项目A引用了项目B，需确保项目B自身的依赖已还原。可单独对项目B生成BOM测试，确认其依赖能被正常抓取：

    .\dotnet-CycloneDX.exe D:\Folder_Project\ProjectB.csproj -r -o c:\binaries\output\ProjectB_BOM
    

  • 对于本地NuGet包引用（非公共源的本地nupkg文件），需确认项目文件中包源配置正确，且包已被正确安装到本地缓存。

• 更新CycloneDX工具版本
  旧版本可能存在依赖抓取的兼容性问题，先查看当前版本：

  .\dotnet-CycloneDX.exe --version
  

  若版本较旧，执行更新命令（全局安装的情况）：

  dotnet tool update -g CycloneDX
  

• 验证BOM内容完整性
  打开生成的BOM文件（默认XML格式），手动核对项目文件中的<PackageReference>和<ProjectReference>节点，确认所有依赖是否都已包含。若开发依赖未出现，检查是否已添加-d参数。

内容的提问来源于stack exchange，提问作者John U