Software Bill of Materials
EPPlus 软件为从 7.3 版本起的每个 EPPlus 版本提供一个 Software Bill of Materials （SBOM）。SBOM列出了EPPlus中包含的所有第三方依赖，以及它们的版本、许可证和校验和。
所有SBOM均以CycloneDX JSON格式（规范版本1.6）提供，并配有SHA-256校验和用于验证。如有，展开一行以下载特定目标框架的SBOM。
目前没有SBOM文件可供使用。
API 访问与格式信息
每个SBOM都可以通过URL直接访问。这对自动化工具和使用SBOM数据的流水线非常有用。
所有版本索引
一个机器可读的JSON索引，包含所有可用的SBOM文件，包括版本、发布日期、下载URL和 SHA-256 校验和。
https://epplussoftware.com/security/sbom/all.json具体版本
返回包含指定版本所有目标框架依赖的合并SBOM。
https://epplussoftware.com/security/sbom/{version}.json具体版本与目标框架
每个SBOM也针对特定目标框架提供，供需要框架特定依赖数据的工具使用。
https://epplussoftware.com/security/sbom/{version}/{tfm}.json最新发布版本
https://epplussoftware.com/security/sbom/latest.jsonSBOM以 CycloneDX JSON格式生成，规范版本为1.6。它包含所有 NuGet 依赖，包括版本、许可证和 SHA-512 校验和。
- SBOM（软件材料清单）
- 一个结构化、机器可读的软件产品中所有第三方组件的列表——类似于成分表。SBOMs被安全团队和自动化工具用来识别产品依赖中的已知漏洞。
- 目标框架（TFM）
- EPPlus 可同时为多个 .NET 版本构建，例如 net462（.NET Framework 4.6.2）、netstandard2.0、net8.0 和 net9.0。这些都被称为目标框架。不同的目标框架可能依赖不同的NuGet包或版本，这也是为什么每个TFM的SBOM能比合并的SBOM提供更精确的依赖信息。
- 旋风DX
- 由OWASP基金会维护的开放SBOM标准，安全工具和扫描仪广泛支持。CycloneDX定义了一种结构化的JSON（或XML）格式，用于描述软件组件及其关系。EPPlus SBOMs 使用 CycloneDX JSON 格式，规范版本为 1.6。 cyclonedx.org
- SHA-256校验和
- 文件的密码指纹。通过将下载的SBOM的校验和与此处列出的值进行比较，您可以确认文件在传输过程中没有被篡改或损坏。
- CVE（常见漏洞与暴露）
- 用于公开已知安全漏洞的标准化标识符，例如 CVE-2024-12345。CVE标识符由MITRE分配，并在国家漏洞数据库（NVD）等漏洞数据库中引用。安全扫描器使用SBOM中列出的组件来检查已知的CVE。