作者： ponybai

让我们来调查Salesforce提供的各种免费试用版。假设我们有一个叫Volunteer Tracker的伟大产品，它的名字就是这么说的：它跟踪组织的志愿者。让我们看看我们可以为我们的潜在客户创造什么样的体验。我们将为我们的应用部署各种类型的试用版：可安装试用版，试用版和Trialforce试用版。

Test Drive是向未使用Salesforce的客户展示Volunteer Tracker的最简单方法。他们从AppExchange列表中启动应用程序的试用版。

Test Drive存在于自己的组织中，并且每个使用它的客户都以评估用户身份登录。客户无法更改组织中的任何数据，也不需要密码。几个客户可以同时使用测试驱动器 – 因为没有人可以更改数据，所以不存在干扰风险。

在创建测试驱动器之前，请确保您已将应用的托管软件包链接到您的列表。我们解释如何在ISVforce指南中执行此操作。

Create a Test Drive Org

从Salesforce合作伙伴社区的发布控制台开始。

1. 在发布控制台中，点击 the Listings tab.
2. 点击您的产品列表。
3. 点击 Trials.
4. 点击 Create Test Drive.
   
5. 弹出一个向导。为测试驱动器提供一个简单的描述性名称，并将其与您的应用的托管软件包的正确版本相关联。然后点击 Submit.

Salesforce为测试驱动器创建Developer Edition组织。该组织有两个用户：管理员和评估用户。 Salesforce会为每个用户发送一封电子邮件。当您收到电子邮件时，您已准备好配置组织。

配置测试驱动组织

从您的电子邮件开始。

1. 打开管理员用户的“欢迎使用Salesforce：验证您的帐户”电子邮件，然后单击 Verify Account (1).
   
2. 向导将引导您完成更改密码的步骤。
3. 添加示例数据并配置组织，以便您的应用程序准备就绪。优秀的样本数据可以帮助您销售您的产品，并在下一单元中进行讨论。
4. 打开评估用户的“Welcome to Salesforce: Verify your account”电子邮件，然后单击Verify Account （1）。然后按照指示验证您的帐户并更改您的密码。
5. 作为评估用户（2）登录到测试驱动组织，并确保您可以访问您的应用程序。如果您不能，则必须将此用户分配给您的托管软件包的许可证。
   

Test Drive组织准备就绪。现在是时候将其链接到您的列表。

将组织连接到您的清单

从Salesforce合作伙伴社区的发布控制台开始此过程。

1. 在发布控制台中，点击清单标签。
2. 点击您的产品列表。
3. 点击 Trials.
4. 点击 Connect Organization.
5. 弹出一个向导。为只读用户提供用户名和密码，然后单击Submit。用户名必须包含“eval”。
   
6. 点击 Save.

您的客户现在可以将您的产品旋转。转到您的AppExchange列表，并通过点击列表中的Test Drive进行试用。

Trialforce非常酷。作为我们最灵活的免费试用版，它可以让您为不同类型的潜在客户和客户创建多种不同的体验，并在自己的试用组织中运行每一种体验。转换很简单，因为购买产品的客户刚开始使用试用组织作为生产组织。

不过，Trialforce并不神奇。你必须知道一些事情，并配置一些组织来使其工作。但别担心。我们在这里向你展示如何。

对于您在Trialforce中提供的每种体验，都可以创建一个模板来保存配置数据和样本数据。当潜在客户开始Trialforce试用时，此模板中的数据将部署到试用组织。

这些模板在哪里生存，以及它们如何部署到试用组织？ Trialforce使用几种组织类型管理模板：

• Trialforce Source Org（TSO）包含模板的配置和示例数据。您为每个创建的体验制作其中一个组织，并按照您希望潜在客户看到的那样进行配置。 TSO创建包含您的配置和样本数据的模板。
• 您的Environment Hub可以为您的试用创建一个TSO。这是制作TSO最简单的方法。
• 如果您想为您的试用定制品牌，则可以使用Trialforce Management Org（TMO）来创建和管理您的TSO。 Environment Hub无法创建品牌TSO。

我们向您展示如何为下一个单元中的TSO创建模板。现在，让我们设置这些组织。

直接从Environment Hub创建试用版源组织

1. 登录到您的企业组织中安装的Environment Hub。
2. 点击 Create Org.
3. 为了目的，请选择 Trialforce.
4. 输入所需的信息并点击 Create.

使用试用版管理组织创建品牌试用版源组织

为了创建一个品牌TSO，你需要一个TMO。为此，您需要一个现有的开发人员或合作伙伴开发人员版本组织。这可以是任何组织，但用于托管软件包的组织除外。如果您需要一个新的组织，您可以从您的环境中心创建一个组织。

拥有开发人员组织后，创建一个支持案例以访问TMO。

1. 在发布控制台中，单击 Support (1).
2. 点击 New Case (2).
   
3. 点击 Trialforce.
4. 点击 Create a Case.
   
5. 从副主题中选择 Trialforce Management Org.
6. 选择严重性级别，输入简要说明，然后单击 Submit Case.

而已。您将收到一封电子邮件，其中包含新TSO的登录信息。

然而，您创建它时，您需要为您创建的每种不同的Trialforce体验创建一个TSO。

希望所有关于TSO和TMO的讨论都不是TMI！ （信息太多）在下一个单元中，我们专注于创建一个有效的Trialforce体验。

在Salesforce，我们希望帮助您创造尽可能最佳的客户体验，并为您提供帮助，为您提供不同的分享产品的方式。你的第一步是确定你的客户想要什么。

您的一些潜在客户已经使用Salesforce并可以访问一个或多个组织。如果你想让他们使用他们现有的数据来玩你的产品，他们可以试用你的软件包到他们的沙箱或生产组织。我们称之为可安装试用版。

但是，使用现有的客户数据并不总是有意义的。有些潜在客户不能安装应用程序，或者甚至没有组织。或者，您可能对特定的体验有特定的想法，如果您使用特定的数据，则更容易进行演示。也许你想使用Wave Analytics或配置的社区，这些社区需要在他们自己的组织中运行。我们给你两个选择使用你的潜在客户自己的数据进行试验的选项：

• 测试驱动器，它允许潜在客户登录到预先配置的组织并使用评估帐户环顾四周。它很容易部署，但它是只读的：用户不能更改任何数据。
• Trialforce，创建一个全新的包含应用程序的试用组织，并使用自定义示例数据填充它。 Trialforce需要更多的准备，但您可以自定义它。

这三种方法 – 可安装试用版，试用版和试用版 – 可让您决定如何将您的产品交付给潜在客户。您可以选择一种方法，或根据需要混合搭配。

让我们仔细看看每种类型的试验。

小小的努力让人印象深刻

可安装试用需要最低限度的设置，因为它们使用实际的客户数据。没有示例数据可以生成或配置 – 应用程序使用客户在购买完整版本时安装的相同元数据包。这有点像出售与买家家具一起上演的房子。

无论您指定的时间长短如何，最长可达24小时，或者您想要的时间。这些条款取决于您使用的许可证。

如果客户购买您的产品，则试用版会转换为完整版。如果他们决定不购买，他们可以卸载您的应用程序或让许可证过期。无论哪种方式，他们的数据保持不变 – 当然减去重复数据。

可安装的试用版可以最好地展示您的产品。如果您的应用以现有客户数据轻松演示的方式增强了现有组织，请使用可安装的试用版。

您不必成为ISVforce合作伙伴即可使用可安装的试用版。考虑我们的原始设备制造商（OEM）合作伙伴。他们通常销售给Salesforce之外的客户，但他们在与已经是Salesforce客户的潜在客户工作时可以使用可安装的试用版。

轻松转换您的客户

当客户决定尝试您的产品时，Trialforce会创建一个新的组织并在那里安装试用版及其数据。组织具有预先存在的用户ID和密码，客户用于登录，并从那里访问和修改组织的所有数据。

如果潜在客户决定购买，Trialforce组织将成为他们的生产组织，他们可以继续使用它。如果您的客户将自己的数据输入到试用版中，他们会希望保留试用组织。请务必提前计划在这些情况下如何删除示例数据。

Trialforce可以为你工作

对于OEM合作伙伴向全新客户销售，Trialforce有很大意义。这些客户可以快速开始使用试用版中的样本数据。但是，在几种情况下，ISVforce合作伙伴也可以从Trialforce中受益：

• 如果业务用户想要评估您的产品，但无法安装软件包，那么Trialforce会让这些用户在他们自己的组织中没有管理权限的情况下尝试应用。
• 您可以向现有客户展示新产品，以补充他们正在使用的工具。
• 如果您的应用需要丰富的数据来展示其出色的功能（可能是项目管理应用），那么您可以使用Trialforce来为您的客户提供精心制作的甘特图。
• 也许你的产品很难设置。不过，一旦你开始使用它，它会很棒。让试用者干这些肮脏的工作。

现在您对可用试验的种类有了更多了解，请考虑您希望为您的潜在客户提供什么样的体验。您可以使用任何或所有这些试验 – 无论对您的策略最有意义。如果你愿意做这项工作，你可以根据自己的意愿自定义。

说够了！我们来看下一个单元，看看如何设置每种类型的试验。

在Salesforce，我们希望帮助您创造尽可能最佳的客户体验，并为您提供帮助，为您提供不同的分享产品的方式。你的第一步是确定你的客户想要什么。

您的一些潜在客户已经使用Salesforce并可以访问一个或多个组织。如果你想让他们使用他们现有的数据来玩你的产品，他们可以试用你的软件包到他们的沙箱或生产组织。我们称之为可安装试用版。

但是，使用现有的客户数据并不总是有意义的。有些潜在客户不能安装应用程序，或者甚至没有组织。或者，您可能对特定的体验有特定的想法，如果您使用特定的数据，则更容易进行演示。也许你想使用Wave Analytics或配置的社区，这些社区需要在他们自己的组织中运行。我们给你两个选择使用你的潜在客户自己的数据进行试验的选项：

• 测试驱动器，它允许潜在客户登录到预先配置的组织并使用评估帐户环顾四周。它很容易部署，但它是只读的：用户不能更改任何数据。
• Trialforce，创建一个全新的包含应用程序的试用组织，并使用自定义示例数据填充它。 Trialforce需要更多的准备，但您可以自定义它。

这三种方法 – 可安装试用版，试用版和试用版 – 可让您决定如何将您的产品交付给潜在客户。您可以选择一种方法，或根据需要混合搭配。

让我们仔细看看每种类型的试验。

小小的努力让人印象深刻

可安装试用需要最低限度的设置，因为它们使用实际的客户数据。没有示例数据可以生成或配置 – 应用程序使用客户在购买完整版本时安装的相同元数据包。这有点像出售与买家家具一起上演的房子。

无论您指定的时间长短如何，最长可达24小时，或者您想要的时间。这些条款取决于您使用的许可证。

如果客户购买您的产品，则试用版会转换为完整版。如果他们决定不购买，他们可以卸载您的应用程序或让许可证过期。无论哪种方式，他们的数据保持不变 – 当然减去重复数据。

可安装的试用版可以最好地展示您的产品。如果您的应用以现有客户数据轻松演示的方式增强了现有组织，请使用可安装的试用版。

您不必成为ISVforce合作伙伴即可使用可安装的试用版。考虑我们的原始设备制造商（OEM）合作伙伴。他们通常销售给Salesforce之外的客户，但他们在与已经是Salesforce客户的潜在客户工作时可以使用可安装的试用版。

轻松转换您的客户

当客户决定尝试您的产品时，Trialforce会创建一个新的组织并在那里安装试用版及其数据。组织具有预先存在的用户ID和密码，客户用于登录，并从那里访问和修改组织的所有数据。

如果潜在客户决定购买，Trialforce组织将成为他们的生产组织，他们可以继续使用它。如果您的客户将自己的数据输入到试用版中，他们会希望保留试用组织。请务必提前计划在这些情况下如何删除示例数据。

Trialforce可以为你工作

对于OEM合作伙伴向全新客户销售，Trialforce有很大意义。这些客户可以快速开始使用试用版中的样本数据。但是，在几种情况下，ISVforce合作伙伴也可以从Trialforce中受益：

• 如果业务用户想要评估您的产品，但无法安装软件包，那么Trialforce会让这些用户在他们自己的组织中没有管理权限的情况下尝试应用。
• 您可以向现有客户展示新产品，以补充他们正在使用的工具。
• 如果您的应用需要丰富的数据来展示其出色的功能（可能是项目管理应用），那么您可以使用Trialforce来为您的客户提供精心制作的甘特图。
• 也许你的产品很难设置。不过，一旦你开始使用它，它会很棒。让试用者干这些肮脏的工作。

现在您对可用试验的种类有了更多了解，请考虑您希望为您的潜在客户提供什么样的体验。您可以使用任何或所有这些试验 – 无论对您的策略最有意义。如果你愿意做这项工作，你可以根据自己的意愿自定义。

说够了！我们来看下一个单元，看看如何设置每种类型的试验。

你可能听说过“在你购买之前尝试”的表达方式。当然。陈词滥调？也许。但没有更好的方法来确定你是否真的需要使用它，而不用担心浪费金钱。

这在销售中并不是一个新想法。在线搜索“免费试用版”，您可以在几乎每个市场中免费试用。数十年来免费的软件试用版已经上市。事实上，很难想象一个没有某种免费试用版的主要软件产品。

你的客户正在寻找他们的问题的解决方案，他们可能有很多选择。如果你认为你的解决方案是最好的，那么为什么不让人们试用它呢？

通常，你需要做很多工作才能在你的软件中建立一个免费的试用机制。在您需要详细了解许可条款，试用环境和功能等细节时，您可以在实际产品上完成大量工作。

但是你是Salesforce的合作伙伴，这是非常普通的！ Salesforce从一开始就为客户提供免费试用。事实上，我们是首批提供完整功能免费试用的企业软件公司之一。它对我们来说非常好。

因此，AppExchange的设计考虑到免费试用并不奇怪。而且由于我们的合作伙伴是让AppExchange取得成功的人，我们尽力处理所有管理细节，因此您可以在免费试用版和实际产品中专注于客户的体验。

为您的产品添加免费试用版并不像翻转开关那么简单 – 有些规划涉及到 – 但比自己重新布线要容易得多。如果您使用我们提供的工具构建试用版，我们将帮助您将潜在客户转化为付费客户。

这是所有的许可证

试用版和完整版应用程序之间最大的区别是什么？忽略技术细节，试用版和完整版是具有不同许可证的相同软件。试用期过了一段时间，而完整版仍然存在。

您如何控制您的试用版使用哪种许可证？有一个应用程序：许可证管理应用程序（LMA）。有了它，您可以将许可证附加到每个应用程序。审判获得自己的许可证，因为他们的条款与完整的应用程序不同。 LMA管理许可证的详细信息并记录购买产品的潜在客户的信息。

试用技术Salesforce可与LMA无缝协作，帮助您转换潜在客户。每次有人向您要求试用时，我们都会自动在您的LMA中放入主唱。所以试验确实导致了销售。

我们没有告诉你如何在这里设置你的LMA。不过，AppExchange合作伙伴应该了解AppExchange的授权方式。查看参考资料部分的一些有用的链接。

给你的客户免费试用或演示是获得他们关注的好方法，但如果你不交货，他们的心就会徘徊。使用您的免费试用来构建吸引他们的体验。

利用您的潜在客户来了解目标市场的需求，并让他们轻松了解您的产品如何帮助他们实现目标。如果您与特定行业的客户合作，请创建使用示例数据的样机，以说明针对每个行业的任务和工作流程。如果他们可能立即开始在工作中使用产品，那么确保他们在购买完整版本后可以继续工作。

最重要的是，以试用为契机向他们展示你与竞争对手的区别。 展示比告诉好得多。 你甚至可以从你的潜在客户得到一些有用的反馈。 他们的免费试用版可以为您免费提供建议！

现在让我们来看看您可以为您的客户提供哪些类型的试用。

你可能听说过“在你购买之前尝试”的表达方式。当然。陈词滥调？也许。但没有更好的方法来确定你是否真的需要使用它，而不用担心浪费金钱。

这在销售中并不是一个新想法。在线搜索“免费试用版”，您可以在几乎每个市场中免费试用。数十年来免费的软件试用版已经上市。事实上，很难想象一个没有某种免费试用版的主要软件产品。

你的客户正在寻找他们的问题的解决方案，他们可能有很多选择。如果你认为你的解决方案是最好的，那么为什么不让人们试用它呢？

通常，你需要做很多工作才能在你的软件中建立一个免费的试用机制。在您需要详细了解许可条款，试用环境和功能等细节时，您可以在实际产品上完成大量工作。

但是你是Salesforce的合作伙伴，这是非常普通的！ Salesforce从一开始就为客户提供免费试用。事实上，我们是首批提供完整功能免费试用的企业软件公司之一。它对我们来说非常好。

因此，AppExchange的设计考虑到免费试用并不奇怪。而且由于我们的合作伙伴是让AppExchange取得成功的人，我们尽力处理所有管理细节，因此您可以在免费试用版和实际产品中专注于客户的体验。

为您的产品添加免费试用版并不像翻转开关那么简单 – 有些规划涉及到 – 但比自己重新布线要容易得多。如果您使用我们提供的工具构建试用版，我们将帮助您将潜在客户转化为付费客户。

这是所有的许可证

试用版和完整版应用程序之间最大的区别是什么？忽略技术细节，试用版和完整版是具有不同许可证的相同软件。试用期过了一段时间，而完整版仍然存在。

您如何控制您的试用版使用哪种许可证？有一个应用程序：许可证管理应用程序（LMA）。有了它，您可以将许可证附加到每个应用程序。审判获得自己的许可证，因为他们的条款与完整的应用程序不同。 LMA管理许可证的详细信息并记录购买产品的潜在客户的信息。

试用技术Salesforce可与LMA无缝协作，帮助您转换潜在客户。每次有人向您要求试用时，我们都会自动在您的LMA中放入主唱。所以试验确实导致了销售。

我们没有告诉你如何在这里设置你的LMA。不过，AppExchange合作伙伴应该了解AppExchange的授权方式。查看参考资料部分的一些有用的链接。

给你的客户免费试用或演示是获得他们关注的好方法，但如果你不交货，他们的心就会徘徊。使用您的免费试用来构建吸引他们的体验。

利用您的潜在客户来了解目标市场的需求，并让他们轻松了解您的产品如何帮助他们实现目标。如果您与特定行业的客户合作，请创建使用示例数据的样机，以说明针对每个行业的任务和工作流程。如果他们可能立即开始在工作中使用产品，那么确保他们在购买完整版本后可以继续工作。

最重要的是，以试用为契机向他们展示你与竞争对手的区别。 展示比告诉好得多。 你甚至可以从你的潜在客户得到一些有用的反馈。 他们的免费试用版可以为您免费提供建议！

现在让我们来看看您可以为您的客户提供哪些类型的试用。

您刚刚收到了Salesforce安全团队的电子邮件。您的产品已经过审核。你已经等了好几个星期了，所以你很兴奋。但是某种程度上，你害怕打开它：如果你没有通过，该怎么办？

如果你的产品没有通过它的第一次安全审查，它是在一个很好的公司。所有提交的产品中有一半未通过首次安全审核。安全并不容易！如果是这样，我们实际上并不需要安全审查过程。

让我们来探讨两种可能的安全审查结果 – 不是传递和传递 – 因为在开发产品时，您可能会遇到这两种情况。

内容

因为我们一直在谈论“通过”安全审查，所以您可能会将安全审查视为您通过或未通过的考试。但它并非真的如此黑白。将审查视为安全团队的反馈意见，以帮助您提高产品质量并增加成功发布的机会。

如果您的产品未通过其安全审核，您会将此反馈作为报告列出安全团队发现的漏洞。您收到的电子邮件还包含有关如何修复这些漏洞的详细说明。

关于报告的好处是，它会给你找到的问题的具体描述。它在报告顶部提供了超链接的内容表，如下所示：

1. SOQL注入漏洞

   …

2. 调试漏洞中的敏感信息

   …

3. 信息披露漏洞

   …

4. CRUD / FLS强制执行漏洞

   …

每个条目都是一种安全漏洞。每个条目下面是发现漏洞的组件的名称。在目录下面是每个漏洞的详细描述。点击一个条目即可进入相应的描述。

我们去广泛。你深入

该报告列出了您的产品中发现的各种漏洞，但不是每个实例。如果您在列表中看到SOQL注入漏洞，请查看您的所有代码（而不仅仅是提到的组件），以了解SOQL注入机会。

我们还可以提醒您我们利用哪些漏洞进入您的应用程序，但我们无法做出详尽的列表。无论如何，您的团队在代码库中拥有更多的专业知识。因此，一旦知道这些漏洞存在，您就可以更快地找到这些漏洞。

测试不完美

我们只能花费有限的时间在您的产品中查找漏洞。有时，当重新审核应用时，我们会发现一些新类型的漏洞，这是我们第一次看不到。测试不全面，无论是宽度还是深度。因此，当您查看代码库时，请注意各种漏洞，即使报告中没有这些漏洞。

在修复漏洞时，请不要忘记对您的产品重复使用扫描仪和对抗性​​测试，就像您在审查之前一样。它们有助于防止新漏洞潜入您的代码中。

检查您的做法以及您的准则

坐下来和你的团队聊聊，以处理安全审查的结果。以下是您可以用来开始对话的一些问题：

• 这些漏洞是如何通过您自己的安全审查？
• 你能做些什么来尽快找到它们吗？
• 会有更多测试帮助吗？
• 会有更多的人员或更多的时间帮助？
• Salesforce的安全培训会有更多帮助吗？
• 您是否从可应用于您的开发过程的安全审查中学到了什么？

没有完美的战略来实现安全 – 它需要奉献和决心。但是，您总是可以通过整合从每次安全审查中学到的内容来改进整体战略。

当然，你的成功就是我们的成功！如果您在修复漏洞或检查流程方面需要指导，请联系您的合作伙伴客户经理或技术布道者。如果您需要技术安全建议，我们的信任团队需要办公时间。

您已经修复了您的应用并改进了您的开发流程。你不能相信一切都更安全，你不能等待安全评论复赛。做最糟糕的Salesforce产品安全团队！

安全团队绝不会因为挑战而退缩。你只需要引起他们的注意。您是如何做的取决于您是否修复了在Salesforce平台上运行的代码。

如果您更改了在Salesforce平台上运行的代码，则必须上传新版本的托管软件包。如果您还对包进行了外部更改，请在完成向导时添加该信息：

1. 在发布控制台中，单击“Listings”选项卡。
2. 点击您的列表。
3. 通过单击“Change Packages”将新的托管包上传到您的列表。
4. 点击软件包上“Start Review”字段旁边的开始查看。
5. 通过安全审查向导并按照正常的提交过程。

如果您仅修复了在Salesforce外部运行的代码，请编辑您现有的安全审核提交信息：

1. 在发布控制台中，单击“Listings”选项卡。
2. 点击您的列表。
3. 点击软件包上“Edit Review”字段旁边的编辑评论。
4. 浏览安全审查向导并更新任何已更改的信息。
5. 在合作伙伴社区中记录一个案例，让产品安全团队知道您正在重新提交您的产品以供审核。在评论中包含您的包名称，ID和版本。

无论哪种方式，您不必支付另一设置费。只要您的软件包ID和您的名称空间不变，我们认为您的重新提交与以前一样。和第一轮一样，安全审查过程需要6到8周时间。

当您的产品通过安全审查时，您会收到一封很好的电子邮件，表示已通过审核。你做到了！那并不坏，是吗？祝贺你的团队中的每一个人，享受这一刻。以你最喜欢的方式庆祝。

当那个神奇的时刻过去时，是时候推出你的产品了。安全审查电子邮件让您了解此过程中的下一步操作。在发布控制台中完成您的列表并准备好您的营销团队。

我们可以帮助您启动。您的合作伙伴客户经理可以与您合作，并且合作伙伴社区可以在AppExchange上分发，营销，销售和支持您的产品。

然后坐下来看着你的数字增长。

您刚刚收到了Salesforce安全团队的电子邮件。您的产品已经过审核。你已经等了好几个星期了，所以你很兴奋。但是某种程度上，你害怕打开它：如果你没有通过，该怎么办？

如果你的产品没有通过它的第一次安全审查，它是在一个很好的公司。所有提交的产品中有一半未通过首次安全审核。安全并不容易！如果是这样，我们实际上并不需要安全审查过程。

让我们来探讨两种可能的安全审查结果 – 不是传递和传递 – 因为在开发产品时，您可能会遇到这两种情况。

内容

因为我们一直在谈论“通过”安全审查，所以您可能会将安全审查视为您通过或未通过的考试。但它并非真的如此黑白。将审查视为安全团队的反馈意见，以帮助您提高产品质量并增加成功发布的机会。

如果您的产品未通过其安全审核，您会将此反馈作为报告列出安全团队发现的漏洞。您收到的电子邮件还包含有关如何修复这些漏洞的详细说明。

关于报告的好处是，它会给你找到的问题的具体描述。它在报告顶部提供了超链接的内容表，如下所示：

1. SOQL注入漏洞

   …

2. 调试漏洞中的敏感信息

   …

3. 信息披露漏洞

   …

4. CRUD / FLS强制执行漏洞

   …

每个条目都是一种安全漏洞。每个条目下面是发现漏洞的组件的名称。在目录下面是每个漏洞的详细描述。点击一个条目即可进入相应的描述。

我们去广泛。你深入

该报告列出了您的产品中发现的各种漏洞，但不是每个实例。如果您在列表中看到SOQL注入漏洞，请查看您的所有代码（而不仅仅是提到的组件），以了解SOQL注入机会。

我们还可以提醒您我们利用哪些漏洞进入您的应用程序，但我们无法做出详尽的列表。无论如何，您的团队在代码库中拥有更多的专业知识。因此，一旦知道这些漏洞存在，您就可以更快地找到这些漏洞。

测试不完美

我们只能花费有限的时间在您的产品中查找漏洞。有时，当重新审核应用时，我们会发现一些新类型的漏洞，这是我们第一次看不到。测试不全面，无论是宽度还是深度。因此，当您查看代码库时，请注意各种漏洞，即使报告中没有这些漏洞。

在修复漏洞时，请不要忘记对您的产品重复使用扫描仪和对抗性​​测试，就像您在审查之前一样。它们有助于防止新漏洞潜入您的代码中。

检查您的做法以及您的准则

坐下来和你的团队聊聊，以处理安全审查的结果。以下是您可以用来开始对话的一些问题：

• 这些漏洞是如何通过您自己的安全审查？
• 你能做些什么来尽快找到它们吗？
• 会有更多测试帮助吗？
• 会有更多的人员或更多的时间帮助？
• Salesforce的安全培训会有更多帮助吗？
• 您是否从可应用于您的开发过程的安全审查中学到了什么？

没有完美的战略来实现安全 – 它需要奉献和决心。但是，您总是可以通过整合从每次安全审查中学到的内容来改进整体战略。

当然，你的成功就是我们的成功！如果您在修复漏洞或检查流程方面需要指导，请联系您的合作伙伴客户经理或技术布道者。如果您需要技术安全建议，我们的信任团队需要办公时间。

您已经修复了您的应用并改进了您的开发流程。你不能相信一切都更安全，你不能等待安全评论复赛。做最糟糕的Salesforce产品安全团队！

安全团队绝不会因为挑战而退缩。你只需要引起他们的注意。您是如何做的取决于您是否修复了在Salesforce平台上运行的代码。

如果您更改了在Salesforce平台上运行的代码，则必须上传新版本的托管软件包。如果您还对包进行了外部更改，请在完成向导时添加该信息：

1. 在发布控制台中，单击“Listings”选项卡。
2. 点击您的列表。
3. 通过单击“Change Packages”将新的托管包上传到您的列表。
4. 点击软件包上“Start Review”字段旁边的开始查看。
5. 通过安全审查向导并按照正常的提交过程。

如果您仅修复了在Salesforce外部运行的代码，请编辑您现有的安全审核提交信息：

1. 在发布控制台中，单击“Listings”选项卡。
2. 点击您的列表。
3. 点击软件包上“Edit Review”字段旁边的编辑评论。
4. 浏览安全审查向导并更新任何已更改的信息。
5. 在合作伙伴社区中记录一个案例，让产品安全团队知道您正在重新提交您的产品以供审核。在评论中包含您的包名称，ID和版本。

无论哪种方式，您不必支付另一设置费。只要您的软件包ID和您的名称空间不变，我们认为您的重新提交与以前一样。和第一轮一样，安全审查过程需要6到8周时间。

当您的产品通过安全审查时，您会收到一封很好的电子邮件，表示已通过审核。你做到了！那并不坏，是吗？祝贺你的团队中的每一个人，享受这一刻。以你最喜欢的方式庆祝。

当那个神奇的时刻过去时，是时候推出你的产品了。安全审查电子邮件让您了解此过程中的下一步操作。在发布控制台中完成您的列表并准备好您的营销团队。

我们可以帮助您启动。您的合作伙伴客户经理可以与您合作，并且合作伙伴社区可以在AppExchange上分发，营销，销售和支持您的产品。

然后坐下来看着你的数字增长。

安全审查过程至关重要，但不一定非常痛苦。我们希望让它变得舒适和熟悉。我们希望它没有什么大不了的。

您知道，在AppExchange上启动产品之前，您的产品需要经过安全审查。但是每天都会出现新的威胁。因此，Salesforce产品安全团队可以随时要求您审核您的产品，即使该产品已获得批准。通常，AppExchange产品每年进行一次安全审核。

这里有个好消息：每次发布新版本的产品时，您都不需要通过安全审查。只需按照本单元中的同一提交流程进行操作即可自动重新批准。

您提供给产品安全团队的内容取决于您的产品架构。审查你的产品的人们需要新客户使用它的一切。毕竟，他们伪装成有权访问正在运行的实例的攻击者。因此，请提供对您的应用使用的任何环境，软件包和外部组件的访问权限，并包括产品随附的任何文档。

产品安全团队也想知道你已经完成了作业。包括从您在产品上运行的扫描仪中获得的报告，以及任何误报的解释。

以下是安全团队需要的内容：

在您请求安全审查之前：

• 为您的产品创建一个列表，并上传您的托管软件包。
• 与Salesforce创建分销协议。请联系您的合作伙伴客户经理获取帮助。

Salesforce产品安全团队知道他们要求你很多。所以他们创建了方便的安全评估向导来帮助您提交一切。

开始评论

从合作伙伴社区的发布控制台开始安全审查提交流程。

1. 在发布控制台中，单击“Listings ”选项卡。
2. 点击您的产品列表。
3. 点击 App.
   
4. 在软件包的名称和版本号下，单击开始审阅。该向导的第1步显示一个页面，其中显示了安全审查的概述以及要为其准备的项目。当你准备开始输入信息时点击下一步。
   

提供公司信息

在安全审查向导的步骤2和3中，告诉安全团队您的公司。

1. 在步骤2屏幕上，为Salesforce安全团队可以联系问题的人员提供联系信息。
   
2. 点击 Save & Next.
3. 在步骤3屏幕上，如果您的公司有书面安全策略，请选中顶部框。上传该政策的副本，并提供贵公司联系人的信息。
4. 如果您的公司有任何相关的安全认证，请检查底部框，并包括有关这些认证的详细信息。
5. 点击 Save & Next.

定义应用程序组件

在向导的第4步中，向我们介绍应用中的所有组件和服务以及它们的位置。

1. 在步骤4屏幕上，如果您的产品使用任何Lightning Platform组件，请检查第一个框。
2. 选择Managed Packages因为我们仅允许AppExchange上的托管软件包。
   
3. 在“使用的技术”部分（1）中，检查Apex和Visualforce是否使用它们。我们不再支持S-Controls，因此请确保您没有使用它们。如果您使用这些技术在Salesforce之外使用了任何API，请在文本框中列出它们。
   
4. 在下一节（2）中，如果您的产品包含移动或桌面客户端，请选中该框。在文本框中列出这些客户端使用的任何外部API
5. 在接下来的两节中，如果您的产品实现了Database.com API（3）或Lightning Platform API（4），请选中相应的框。
6. 在（5）下方，如果您的产品包含一个或多个移动网络应用程序，请选中该框。列出这些应用程序在文本框中使用的任何API。
   • 对于iOS客户端，请提供指向您的AppStore列表的链接。如果您的应用程序未在此处列出，请使用TestFlight for iOS并向srops@salesforce.com发送邀请。
   • 对于Android客户端，请提供指向您Google Play商品详情的链接。如果您还没有在那里列出您的应用程序，请链接到必要的SDK文件。
7. 在下一节（6）中，如果您的产品包含网络应用程序或服务，请选中该框。选中您使用的任何平台和编程语言旁边的复选框，并列出您的产品存储的任何凭证。指出您的产品是否使用我们的单点登录服务。
   
8. 在接下来的两个部分（7和8）中，选中表示您的产品是否有任何客户端或移动应用程序的框。
   
9. 点击 Save.

提供测试环境

在向导的第5步中，为您的Lightning Platform组织和任何外部组件或服务提供凭据。

1. 为您的Lightning Platform生产组织输入用户名和密码。确保它是一个启用了Locker Service的开发版组织。点击添加。该表格通过登录到组织来验证这些信息。
   
2. 为您的产品使用的每个网络应用或服务输入凭据和URL，点击添加以验证每个应用或服务。对于网络应用程序，请从选取列表中选择适当的身份验证形式。
   
3. 对于您的产品包含的每个桌面客户端，请输入用于安装的链接以及任何凭据，许可证文件和配置数据。完成输入后，点击添加。
4. 对于您的每个产品的移动应用程序，请提供平台，安装文件或链接以及任何其他有用的信息。点击每个之后的添加。

上传扫描仪报告

你快完成了！在向导的第6步中，向安全团队提供由您在产品上运行的扫描仪生成的报告以及任何相关文档。

1. 在“Lightning Platform Security Code扫描仪报告”中（1）附上您从Checkmarx获得的报告。不要选中说你运行报告的方框 – 我们希望看到你的健康状况良好。它给了我们温暖和模糊的感觉。
2. 如果Checkmarx报告有误报，请附上一份文件解释每一项。
3. 如果您正在使用外部服务，那意味着您使用ZAP或奇美拉来扫描它们。在“其他报告或文件”（2）中提供来自这些工具的任何报告。将报告和相关文档捆绑到一个存档中并在此处上传。如果ZAP没有报告问题，我们要求您证明您已经测试了正确的外部端点。通过包含扫描该端点的每个工具的屏幕截图来执行此操作。
4. 点击 Save & Next.

准备好信用卡

经过第7步的简要回顾后，我们要求您在向导的第8步中支付安全审查费用。对于您在AppExchange上销售的每种产品，我们都会要求2700美元的安装费用。这需要审查本身和您的第一笔150美元的AppExchange费用。如果您的产品是免费的，我们会放弃安全审查费用。

最后，您需要与Salesforce达成分销协议。如果您还没有，请在审核前联系您的合作伙伴客户经理。

恭喜你，你做到了！深呼吸，做一些延伸。也许走一走。如果您的提交中缺少任何内容，安全审查团队将与您联系。一切就绪后，您会收到一封电子邮件，确认您的产品符合安全审核要求。

产品通常需要6到8周才能完成审核流程。产品安全团队完成后，他们会向您发送一份报告，列出他们发现的任何问题。如果他们发现没有错，他们会批准你的产品。真厉害！

接下来发生什么？继续找出。

现在你已经将OWASP列表书签了。也许您的团队甚至采用了开发安全Web应用程序跟踪。您已经以一种全面保护其数据的方式设计了您的应用程序，并且您正在通过遵循安全编码实践来构建您的应用程序。

您知道安全审查流程正在等待您的产品，并且您知道无法通过AppExchange启动您的产品。但究竟是什么安全审查呢？

你不会声称你的应用程序中的某个功能没有经过测试就能正常工作，对吗？当然不是。

您的应用程序最重要的功能之一是保护客户数据。在Salesforce，我们相信这个功能非常重要，我们可以帮助您测试它​​。

在安全审查中，我们的产品安全团队会针对OWASP列表中描述的攻击来测试您的产品的防御措施。我们的测试人员戴上了防盗面具，并试图在持续数小时的密集会议中闯入您的应用。他们的任务是窃取他们无权访问的数据。

如果在首先你不成功…

如果我们的团队成功从您的应用中提取数据，他们会向您发送一份报告，列出他们利用的漏洞。您可以使用这些信息来强化您的应用，然后再次通过安全审查。我们在后面的单元中详细解释这个过程。虽然这不是有史以来最好玩的，但它比盗窃真实客户数据要好得多。

像任何测试方案一样，安全审查并不全面。它并没有涵盖所有可能的漏洞，并且通过审查并不是一个铁定的保证你的应用程序是完全安全的。但正如测试您的产品使您对其质量更加自信一样，安全评估为您提供重要反馈以加强产品的防御能力。没有保证产品安全的事情，但通过我们安全审查的应用程序非常接近。

也许你的应用程序是本机应用程序，只能在Salesforce平台上运行。或者，也许它是一个复合应用程序，具有位于云中或公司服务器上其他位置的架构组件或服务。外部托管的作品必须与其他作品一样安全。否则，攻击者可以使用它们作为入口点，就像窃贼可以使用通风管一样。无论您身在何处，您的应用程序的所有组件和服务都是安全审查的公平游戏。

以下是一些典型的应用程序体系结构以及各个部分的位置。

产品安全团队试图攻击所有这些部分，而不仅仅是Salesforce平台上的那些部分。它深入挖掘并随处处理您的数据。相应地计划！例如，本地移动应用可以提供良好的用户体验，但是需要额外的工作来保护它们，具体取决于您将它们放在一起的方式。

带来一切表

当您提交您的应用程序进行审查时，请确保您提供完整的测试设置和使用它的说明。此设置必须包含启用LockerService的开发版组织。

如果您的解决方案包含原生移动应用，请为其添加安装链接。如果您要集成基于Web的外部帐户服务，请设置托管该实例的实例。

如果这个安全审查过程听起来有点可怕，不要担心。我们希望像AppExchange一样在AppExchange上查看您的产品，并且我们随时为您提供帮助。除了我们提到的资源外，我们还提供您的团队可以在您的产品上使用的扫描仪，为审核做准备。

这些扫描程序会针对特定的漏洞模式扫描您的应用程序扫描仪甚至在开发过程的早期派上用场。我们支持其中三个：

这些扫描程序会生成包含他们在您的产品中找到的所有漏洞的报告。当然，他们找不到所有的漏洞。

误报

有时候扫描仪会发现一个并非真正问题的问题。例如，扫描程序会找到您已受保护的漏洞模式，并且无法识别您的保护方法。我们称这些错误为误报。

假设您添加了一些代码以防止恶意SQL查询，并且扫描程序无法识别您的代码是否解决了此漏洞。它报告了一个SQL注入漏洞。您可以将该报告解读为误报。

如果您认为错误是误报，请准备一份说明原因的文档，并将其与安全评估材料一起包含在内。具体说明你如何抵御所指出的漏洞。如果我们不必追逐你并让你解释给我们，它可以节省每个人的时间。

如何解读扫描仪报告

由于三台扫描仪具有不同的作者并在不同的平台上运行，因此会生成不同的报告。此表格显示如何响应每个报告的内容。

扫描仪是伟大的，但没有人类智慧的替代品。在你解决了所有你所知道的安全问题后，试着再找一些！储存在黑色T恤和含糖苏打水上，并将你的测试者转化为黑客。

与团队的安全倡导者一起，制定对抗性测试计划，或攻击自己的产品并试图窃取其数据。 OWASP测试指南是一个很好的资源。

给测试黑客一个运行的应用程序实例，让他们放松一下任务，以获得对客户或系统数据的未经授权的访问。为成功的攻击提供奖品。

敌对测试可以产生一些令人惊讶的结果。你可能会发现自己在思考：“我可以发誓我们修正了这个问题！”或想知道你的队友如何擅长黑客攻击。请记住，被黑客入侵比替代方案要好得多。

在下一个单元中，我们逐步完成提交过程。

贵公司有关谁可以访问哪些信息的规则。当你今天来工作时，也许你使用钥匙或徽章进入办公室。您可能知道邀请家人和供应商参观的程序。希望你不会经常目睹整个陌生人在周围徘徊，但如果发生了，你就知道该怎么办了！

具体人员负责制定和执行这些规则。有时候甚至有一位负责人像首席安全官那样拥有一个特别的头衔。那个人一直在想你公司信息的安全性。

谁拥有产品的安全性？

您的应用或组件中的客户数据也需要保护，就像公司中的信息一样。你的开发团队是否有首席安全官？

诚然，安全是每个人的责任，但开发人员是忙碌的人，事情可能会因为准备好产品市场而忙碌。为确保安全仍然是重中之重，请考虑为您的团队任命安全倡导者。安全倡导者是您的团队的首席安全官，他们始终都在考虑产品的安全性。

在让团队考虑安全性之后，下一步就是要了解有关构建安全软件的更多信息。有几种可用的资源，其中一些我们在最后一个单元中提到过：

弄脏你的手

如果您真的想要安全编码的全面培训，请查看Develop Secure Web Apps踪迹。它提供了各种Web应用程序漏洞的详细说明和交互式示例。您还可以实时利用每个漏洞并修改源代码以防止它受到影响。

每个人都有责任

您的安全倡导者可以成为您团队的资源，但请记住，安全是每个人的责任。您的开发人员对这些问题越熟悉，他们在解决这些问题时就越好。

嘿，你正在编写的应用听起来很棒！尽管如此，世界在它启动之前不会看到它。什么时候准备好了？

没有人希望成为产品与其发布之间的一员。你的销售和营销团队不喜欢意外的延迟，他们不会让你忘记它。所以想象一下，如果您的发布日期因为Salesforce产品安全团队发现漏洞而被推回，那么情况会如何紧张。如果这是一个小问题，很容易解决。但是，如果由于基本的安全漏洞而必须回去改变设计，那么您将面临额外的工作，并可能导致很长的延迟。

考虑每个发展阶段的安全性

无论您使用什么方法编写软件，都要确保您的团队从一开始就考虑安全问题。在开发的每个阶段应用安全设计模式和编程实践，并测试您的应用程序是否受到攻击。在整个开发过程中，您可以采取以下几项措施来提高安全性：

• 设计：最好的错误是你不必修复的错误。没有好的软件设计的替代品，安全的设计每天都会打败不安全的设计。请注意您希望用户如何与功能交互，并确保识别相关的漏洞。然后定义突出显示这些漏洞的特定用例。
• 实施：如果您每天都有Scrum，请让您的安全倡导者与团队成员一起参与安全的编码策略。代码评论是讨论安全问题的另一个重要论坛。将安全编码指南纳入您的编码风格指南。 （你有一个风格指南，是吗？）
• 测试：您需要一个特定的计划来测试您的产品的攻击漏洞。设计测试，以便它们具有可重复性，并在应用程序的整个开发过程中一致地应用它们。

要全面了解网络安全和测试，请查看OWASP测试指南。它可以帮助你把自己的计划放在一起。

当我们谈论构建安全产品时，我们的意思是整个事情。 这包括生活在我们平台之外的部分，比如您在Salesforce之外托管的组件或服务。 别忘了将您可爱的原生移动应用包含在您的安全计划中。 他们也需要保护。

记得：

• 攻击者只需要一个无人防守的入口点就可以毁掉你的一天。 还是一个月。 一致的安全策略可帮助您创建防弹产品。
• 安全是每个人的责任，但您可以通过拥有安全拥护者来帮助您的团队记住它。
• 您的团队可以使用我们提供的交互资源了解安全软件开发。
• 每个发展阶段都有自己的安全考虑。