CycloneDX v2.1.2 如何为.NET Framework项目生成依赖关系图

你遇到的问题本质是旧版packages.config包管理格式不会生成project.assets.json文件，且dotnet restore不识别该格式的依赖声明，以下是两种可直接落地的解决方法：

方案一：迁移至PackageReference包管理格式（推荐） #

• 在Visual Studio中打开目标解决方案，右键点击每个.NET Framework项目的「引用」节点，选择「迁移packages.config到PackageReference」
• 等待Visual Studio完成依赖兼容性校验，确认无包冲突后完成迁移，删除原项目中的packages.config文件
• 执行命令还原依赖：dotnet restore 你的解决方案路径.sln，执行完成后每个项目的obj目录会生成project.assets.json文件
• 执行CycloneDX生成命令即可得到带完整依赖图的SBOM，示例：dotnet CycloneDX 你的解决方案路径.sln --output sbom.xml --include-dep-graph

方案二：保留packages.config格式，使用适配参数生成 #

• 首先确保本地已安装NuGet CLI，执行命令还原所有依赖：nuget restore 你的解决方案路径.sln
• 运行CycloneDX时添加--packages-config参数适配旧格式，示例：dotnet CycloneDX 你的解决方案路径.sln --packages-config --output sbom.xml --include-dep-graph

注意事项 #

• 方案二必须使用nuget restore执行依赖还原，不可使用dotnet restore
• 如果需要纳入项目间的引用依赖，可在生成命令中添加--include-project-references参数

内容的提问来源于stack exchange，提问作者VijayB2606