检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
SaaS类商品安全漏洞扫描操作指导及安全规范 安全漏洞扫描操作指导 发布SaaS类商品如涉及为用户提供网站服务（包括业务前台，管理后台portal等），您需确保您的应用不存在恶意内容，高危漏洞等。请您先对应用完成安全漏洞扫描自测试，具体操作流程如下。 操作步骤 进入卖家中心页面。
中不包含常见的web漏洞：如XSS、SQL注入、CSRF、XXE注入、OS注入、跨目录访问、文件上传漏洞、敏感信息泄露、URL重定向泄露、TLS配置缺陷、网页木马等，如检测结果中包含一个高危漏洞，则扫描结果为不通过，请整改后再发布上架。 安全扫描支持扫描的漏洞请参见：安全扫描支持扫描哪些漏洞？
需先在资产中心新增应用资产：《发布应用资产操作指导》 2023-5-30 联营License类商品接入方式2.0版本上线：《联营License类商品接入指南（2.0版本）》 联营认证流程去掉【补充商务信息】环节：《商家指南-线上联营认证》 商品规格级销售对象新增支持设置企业用户、个人用户：《销售对象管理》
ame”。 安全漏洞扫描 商品发布时，下拉框选择网站漏洞扫描结果为空，或安全漏洞扫描结果时未通过；请在“卖家中心>应用工具>安全漏洞扫描“，请重新完成安全漏洞扫描，关联的安全漏洞扫描结果需为通过。 安全漏洞扫描操作指导及安全规范可参考《SaaS类商品安全漏洞扫描操作指导及安全规范》。
所有能对系统进行管理的人机接口以及可通过公网访问的机机接口必须有接入认证机制，标准协议没有认证机制的除外。 安全加固 商品正式发布前，应使用漏洞扫描工具进行漏洞扫描测试，CVSS评分≥7.0的高风险级别的漏洞必须得到解决或有效规避。 应用安全 对于每一个需要授权访问的请求都必须核实用户是否被授权执行这个操作，仅允许在服务端进行最终的认证处理。
在“卖家中心 > 应用工具 > 应用接入调试（新）”中，点击”License测试授权码”。 点击”申请测试授权码”，可以编辑授权码的有效期。 商家通过License软件集成的方式，对"测试授权码"进行激活和心跳检测，如验证通过，点击刷新后，状态将会变成”已激活””已检测”的状态。 父主题：
镜像安全扫描标准 商家应对镜像中出现的安全漏洞及其造成的后果负责，具体标准如下： 安全属性 标准说明 病毒扫描 镜像不能包含病毒、木马、恶意程序。 主机漏洞扫描 镜像文件不能包含CVSS评分≥7.0的高风险级别的漏洞。 操作系统的预置账号和密码，预置密钥扫描 镜像文件的操作系统禁
2、提交镜像后等待安全人员进行人工测试和审核。 1、商家需要执行病毒扫描、HSS基线规则扫描、二进制扫描、WEB漏洞扫描。 2、提供手工测试用例的结果。 1、镜像文件在资产中心提交，自动化扫描+安全自检。 2、工具测试内容：病毒、漏洞（业界定义的高危），预置账号、弱密码规则等。 3、联营认证的海顿测试中，无需再执行安全测试。
可） heartbeatInfo M HeartbeatInfo 心跳检测信息 heartbeatInfo为Json格式，支持扩充，云商店会校验关键key必输，对于已经对接过该接口的商家，云商店会保持对以往版本的兼容。 表2 HeartbeatInfo 参数 是否必选 参数类型 最大字符长度
文件大小最大10M，不是则提示“上传的文件大小最大为10M”； 3.检测各字段参数格式说明，如有不符，则错误提示“文件检测失败，第5行【模板中excel行数】字段类型【模板中的字段名称】参数不合法”，如全部检测合格，则提示“检测通过” 4.检测格式不符的错误提示全部校验后将统一展示，用“；”分隔。
商家等）填写授权码来激活该软件。 商家调用云商店提供的授权码激活和心跳检测接口，验证授权码的合法性，并为用户激活相关的应用。 在用户使用License软件的过程中，License软件需要持续调用云商店心跳检测接口以获取授权码的状态是否有效，在资源过期、失效时需要阻断用户使用且引导
包符合资产安全检测标准。 资产安全检测标准 商家提交应用资产发布申请后，云商店会对资产中的软件包进行自动化安全扫描，扫描内容如下： 检测项 具体要求 病毒扫描 软件包不能包含病毒、木马、恶意程序 软件包漏洞扫描 软件包不能包含CVSS评分≥7.0的高风险级别的漏洞。 新增资产操作步骤
件包符合资产安全检测标准。 资产安全检测标准 商家提交应用资产发布申请后，云商店会对资产中的软件包进行自动化安全扫描，扫描内容如下 检测项 具体要求 病毒扫描 软件包不能包含病毒、木马、恶意程序 软件包漏洞扫描 软件包不能包含CVSS评分≥7.0的高风险级别的漏洞。 新增资产操作步骤
商家发布License授权码商品时，需要先在卖家中心申请测试授权码，然后通过公网调试云商店开放接口。 商家调用激活授权码和授权码心跳检测两个接口成功后，可以在卖家中心查看测试授权码的激活状态和心跳检测状态。 父主题： 云商店开放接口描述
接口列表 激活授权码 授权码心跳检测 父主题： 云商店开放接口描述
云商店开放接口描述 云商店开放接口说明 接口使用方法 公共参数 接口兼容性说明 接口列表 测试授权码激活和心跳检测 错误码 父主题： 联营License类授权码商品接入指南（2.0版本）
在“修改资产”页面，新增资产版本或更新资产版本。 新增镜像资产版本 点击“版本信息”栏的“添加版本”按钮，页面弹窗“新增版本”，按照页面要求填写完成后点击”确定”。 新增版本的目的是支持用户新购时选择不同版本的镜像（用户续费时仍为原版本镜像）。 更新镜像资产版本 点击“版本信息”栏相应版本操作列的“修改”按钮，页面弹窗“编辑版本”。
面调试License授权码接口在各个调用场景的正确性。 下面以“更新实例授权码有效期”接口为例进行说明。 操作步骤 在“卖家中心 > 应用工具 > 生产地址管理”中，添加生产地址并认证通过。 请将认证通过的生产接口地址按照下图操作绑定密钥。如无密钥，请参考 请勿随意更换绑定的密钥
接口兼容性说明 接口变更时，如果其V版本不变，则云商店保证接口是兼容的，如激活授权码接口V1.0版本，其URI为： POST /api/mkp-openapi-public/global/v1/license/activate，在接口修改时，如果该接口的V版本仍然为V1.0，其URI应该
发起请求 共有二种方式可以基于已构建好的请求消息发起请求，分别为： cURL cURL是一个命令行工具，用来执行各种URL操作和信息传输。cURL充当的是HTTP客户端，可以发送HTTP请求给服务端，并接收响应消息。cURL适用于接口调试。关于cURL详细信息请参见https://curl
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
