欧盟CRA合规：从代码库开始准备

为什么开发者需要关注CRA

欧盟《网络弹性法案》（Cyber Resilience Act, CRA）正在改变软件行业的合规格局。该法案要求所有在欧盟市场销售的软件产品，在整个生命周期内满足网络安全要求，从设计、开发到交付、维护，每个环节都受到约束。

很多团队把合规视为法务或安全部门的事，但实际上，合规能力的根基在代码库。如果代码层面没有做好基础工作，后续的安全评估、漏洞披露和合规证明都将无从谈起。

从代码库开始的三项准备工作

1. 建立软件物料清单（SBOM）

SBOM是CRA合规的核心要求之一。它记录了项目中所有依赖组件的名称、版本、许可证和来源信息。

怎么做：

• 使用工具如 syft、trivy 或 grype 自动生成 SBOM
• 将 SBOM 生成步骤集成到 CI/CD 流水线中，确保每次构建都产出最新清单
• 采用标准格式（如 CycloneDX 或 SPDX），便于审计和工具解析

有什么用： 当某个依赖出现安全漏洞时，能快速定位受影响的项目范围，大幅缩短响应时间。

2. 内建依赖与漏洞管理流程

CRA 要求产品在整个生命周期内持续修复已知漏洞。这意味着团队需要建立常态化的依赖更新和漏洞扫描机制。

怎么做：

• 在 CI 中集成 SCA（软件成分分析）工具，自动检测依赖中的已知漏洞
• 设置依赖更新策略：关键依赖定期升级，非关键依赖按季度批量更新
• 对第三方组件进行安全评估，优先选择维护活跃、响应及时的库

对谁有价值： 中小团队尤其需要注意，手动管理依赖漏洞几乎不可持续，自动化工具是刚需。

3. 输出合规文档与证据链

CRA 合规不仅需要技术措施，还需要可追溯的文档证明。代码库是这些证据的天然来源。

怎么做：

• 保留安全相关的变更记录（如安全修复的 PR 记录）
• 记录威胁建模和安全设计决策
• 将安全测试报告与构建版本关联，形成完整的证据链

实用建议

• 不要等到审计才补文档：合规证据应该在开发过程中自然积累，事后补录往往不完整
• 优先处理高风险依赖：用风险评分工具对依赖排序，集中资源解决最严重的问题
• 将安全左移：在代码提交阶段就进行安全扫描，比上线后修复成本低一个数量级

CRA 的合规要求并非遥不可及的监管负担，而是推动工程实践走向成熟化的契机。从代码库开始，把安全能力内建到开发流程中，既是应对合规的必要准备，也是提升产品质量的长期投资。