在过去两个月中，我们的工程和安全团队一直与医疗、金融、电信、工业自动化及其他领域的企业客户就软件安全、供应链透明度以及欧盟《网络韧性法案》（CRA）进行交流。
这些交流帮助我们更好地了解客户的需求。随着 CRA 相关流程和要求逐渐融入客户自身的产品安全工作，客户也越来越关注软件供应商能够提供哪些支持。
本文总结了我们围绕 DotNetBrowser 安全、漏洞处理、软件透明度和 Chromium 更新所推出的一些实用改进和资源。
1. CRA 信息页面
我们发布了一个专门介绍产品安全和 CRA 应对方式的页面：https://teamdev.cn/dotnetbrowser/cra/
该页面汇总了 DotNetBrowser 的安全实践、漏洞处理、软件供应链透明度，以及其他可能与客户 CRA 合规要求相关的内容。
对于正在评估是否将 DotNetBrowser 纳入自身安全与监管流程的客户，该页面可作为一份实用参考。
2. 软件物料清单（SBOM）
软件供应链透明度对于企业软件正变得越来越重要。
DotNetBrowser 内嵌了 Chromium，也包含其他若干软件组件。客户有时可能需要获取机器可读的信息，以了解某个 DotNetBrowser 版本中包含的软件。
现在，我们会为每个 DotNetBrowser 版本生成并发布 CycloneDX 格式的软件物料清单（SBOM）。
SBOM 以机器可读的形式提供 DotNetBrowser 的组件和依赖项信息，其中包括特定版本所使用的 Chromium 版本。
这使客户可以更方便地将 SBOM 用于软件组成分析和漏洞管理工具，例如 Dependency-Track、Black Duck、Snyk 及类似系统。
SBOM 文件可在 DotNetBrowser 版本发布说明中获取。
3. 协同漏洞披露政策
我们还正式制定了协同漏洞披露（CVD）流程：
https://teamdev.cn/cvd-policy/
该政策说明安全研究人员、客户和合作伙伴如何向 TeamDev 报告潜在漏洞，以及我们如何处理这些报告。
其中提供了明确的安全问题报告联系方式，并介绍了我们的漏洞接收、评估、沟通和修复流程。
4. Chromium 更新与安全修复
DotNetBrowser 的安全风险面很大一部分来自 Chromium。
Chromium 会频繁发布安全更新，因此及时跟进上游版本是维护 DotNetBrowser 安全性的重要工作。
我们的发布流程旨在尽快集成新版 Chromium 及其安全修复，同时尽可能保持 DotNetBrowser API 的兼容性。
这样一来，客户更新 DotNetBrowser 时，就不必把每次 Chromium 安全版本更新都当成一次大规模的应用程序迁移。
我们也会监控 DotNetBrowser 所包含的其他第三方组件，并在必要时对其进行更新。
这对 DotNetBrowser 客户意味着什么
对于负责应用程序安全、软件架构或供应商评估的团队来说，这些改进为 DotNetBrowser 提供了更多安全信息和结构化的安全数据。
您可以：
- 查看我们的 CRA 信息页面：https://teamdev.cn/dotnetbrowser/cra/
- 查看我们的协调漏洞披露政策：https://teamdev.cn/cvd-policy/
- 在软件组成分析和漏洞管理流程中使用 DotNetBrowser SBOM
- 关注 DotNetBrowser 版本发布说明，了解 Chromium 更新与安全相关变更
随着客户需求和整体软件安全环境不断变化，我们将继续完善围绕 DotNetBrowser 提供的安全信息和工具。