如何在CycloneDX生成的Python BOM中排除第三方模块dev/test依赖

• 优先使用工具链原生能力减少二次加工成本：cyclonedx-bomCLI及配套Python解析库在v2.0以上版本已内置依赖分组过滤能力，低版本工具没有对应参数，是多数人找不到直接实现入口的核心原因。
• 带依赖分组标记的项目直接做源头过滤：如果项目通过pyproject.toml管理依赖（包含Poetry、uv等工具配置的dev/test专属依赖组），执行BOM生成命令时直接携带过滤参数，从数据源抓取阶段就排除对应分组的模块：

  cyclonedx-py environment --ignore-groups dev,test --output-file clean-bom.json
  

• 无规范分组的老旧项目兜底方案：如果项目仅靠零散的pip requirements文件管理依赖，没有提前拆分生产/开发依赖清单，不要直接抓取全量依赖生成BOM；先将生产环境必须安装的依赖单独整理到独立的生产依赖清单文件，生成BOM时直接指定该文件为输入源，从输入层面隔离dev/test类依赖。
• 高准确率校验手段：对容器化部署的服务，可直接在镜像构建阶段通过pip install --no-dev参数跳过dev/test依赖安装，再基于运行时的容器文件系统扫描生成BOM，这种方式生成的BOM天然不会混入未被生产环境安装的开发类依赖。
  需要规避的常见误区：不要在开发主机上直接扫描全局Python解释器的已安装包生成BOM，这种方式会把主机上全局安装的所有Python包（包括开发阶段用到的代码格式化、测试、工具类依赖）全部纳入BOM，从源头上就无法准确区分生产与dev依赖，后续的过滤成本极高。

内容的提问来源于stack exchange，提问作者Keymandll