J'oubliais, il est recommandé d'exclure du SBOM les composants qui ne sont utilisés qu'en phase de développement (JUnit par exemple) et ne sont pas liés aux versions de ton outil distribuées sous forme binaire.
Cf. un exemple de SBOM au format CycloneDX pour un composant Java :
[^] # Re: Marche à suivre
Posté par Sébastien Dinot (site web personnel) . En réponse au journal Java et les licences Open Source. Évalué à 3.
J'oubliais, il est recommandé d'exclure du SBOM les composants qui ne sont utilisés qu'en phase de développement (JUnit par exemple) et ne sont pas liés aux versions de ton outil distribuées sous forme binaire.
Cf. un exemple de SBOM au format CycloneDX pour un composant Java :
https://github.com/CycloneDX/bom-examples/blob/master/SBOM/dropwizard-1.3.15/bom.xml