关于EPPlus

EPPlus 运行方式

EPPlus 没有自身的运行时。它是一个库，被加载到主机应用程序的进程中，并在该进程中完全执行。这对其安全配置文件产生了以下影响：

• EPPlus 不在自己的进程中运行。它作为引用它的应用程序中的进程代码运行。
• EPPlus 不管理自己的数据库或持久存储。任何文件或数据处理均由主机应用程序执行。
• EPPlus 不进行网络调用。所有文件输入输出均为主机进程本地。
• EPPlus 没有认证或授权机制。它不识别用户、不发放凭证或控制访问。
• EPPlus 没有自己的基础设施——没有服务器，没有云服务，没有托管端点。
• 渗透测试仅在主机应用的背景下有意义，因为 EPPlus 不暴露独立的运行时或网络表面。有意义的安全测试发生在使用 EPPlus的主机应用层面。

这对安全评估意味着什么

许多标准安全问卷是为SaaS产品或网络服务设计的。关于TLS配置、访问日志、用户配置、基础设施加固或运行时监控的问题不适用于 EPPlus，因为 EPPlus 不提供这些表面。

与 EPPlus 相关的安全问题已在本站其他部分得到解答：

• 发布完整性——请参见 代码签署部分 ，了解如何验证释放文件未被篡改。
• 依赖完整性——请参阅 软件物料清单 ，了解每个版本的完整组件库存。
• 已知漏洞——请参见 漏洞披露， 了解已披露的问题和我们的评估。

安全开发实践

EPPlus 是在一套旨在及早发现缺陷——包括安全相关缺陷——的实践基础下开发的：

• 所有代码更改均通过拉取请求进行，合并前必须由 EPPlus 团队的其他成员审核和批准。该过程是公开的，发生在 EPPlus GitHub 仓库中。
• 每一次变更都会经过数千次单元测试，作为我们CI/CD流水线的一部分，发布前完成。
• 每次推送都会分析源代码 GitHub CodeQL。详情请参见 源代码扫描 。
• 依赖关系会持续扫描已知漏洞。详情请参见 漏洞扫描 。