Android项目执行cyclonedxBom任务时依赖配置解析失败问题求助

问题原因 #

1. 你使用的org.cyclonedx.bom插件版本为1.1.4，版本过旧，对Android多产品风味（ProductFlavor）、多构建变体的适配存在缺陷，无法正确识别Android特有的构建属性，解析类路径时会出现变体选择歧义。
2. 插件应用顺序错误：CycloneDX插件声明在Android应用插件之前，插件初始化时未读取到Android项目的变体配置，无法正确匹配类路径规则。
3. 默认任务会扫描所有类路径，包括test、androidTest相关的测试类路径，进一步放大了变体匹配冲突的问题。

可行解决步骤 #

• 升级CycloneDX Gradle插件到适配Android的高版本，建议使用1.7.0及以上的稳定版，高版本已默认支持Android变体识别：

  plugins {
      // 其他插件不变
      id "org.cyclonedx.bom" version "1.8.2"
  }
  

• 调整插件加载顺序，将CycloneDX相关配置移动到Android应用插件、Kotlin插件声明之后，避免插件初始化时读取不到Android配置。
• 给cyclonedxBom任务添加明确的变体和类路径配置，指定你需要生成依赖清单的目标变体，排除不需要的测试类路径：

  cyclonedxBom {
      // 替换为你需要生成BOM的构建变体，格式为风味名+构建类型名，比如prodRelease、acceptDebug
      variant = "prodRelease"
      // 仅扫描目标变体的运行时类路径，避免冲突
      includeConfigs = ["prodReleaseRuntimeClasspath"]
      // Dependency-Track支持JSON格式BOM，可指定输出格式
      outputFormat = "json"
      // 自定义BOM文件输出路径
      destination = file("build/reports/bom.json")
  }
  

• 执行任务时调用对应变体的专属BOM任务，高版本插件会自动为每个构建变体生成独立的BOM任务，比如要生成生产环境正式版的BOM，执行命令：

  ./gradlew :app:cyclonedxBomProdRelease
  

• 若仍存在变体匹配冲突，可添加全局配置属性匹配规则，明确CycloneDX任务的属性匹配逻辑：

  configurations.all {
      if (name.contains("cyclonedx")) {
          attributes {
              attribute(com.android.build.api.attributes.BuildTypeAttr.ATTRIBUTE, objects.named(com.android.build.api.attributes.BuildTypeAttr, "release"))
              attribute(Attribute.of("version", String), "prod")
              attribute(org.jetbrains.kotlin.platform.type.Attribute.ATTRIBUTE, org.jetbrains.kotlin.platform.type.AndroidJvmPlatformKt.ANDROID_JVM)
          }
      }
  }
  

内容的提问来源于stack exchange，提问作者kimyas78