我应该为带有有限版本范围的Python库生成一个SBOM吗？

Question

<=2.0), meaning that the exact versions used can vary depending on the environment.

在用版本范围定义依赖项而不是精确版本时，有必要生成库的SBOM？

1. 我应该如何生成SBOM？是否应该在不解决精确版本的情况下生成（仅列出pyproject.toml中指定的直接依赖项）？还是应该包括解决的精确版本以及及时依赖性？

目前是一个公开主题，请参见此处

Https：//github.com/cyclonedx/specification/ssues/321，，here

Answer 1