晋商银行应用开发安全设备采购二期项目供应商征集公告

****应用开发安全设备采购二期项目

供应商征集公告

一、 项目名称

****应用开发安全设备采购二期

二、项目背景

随着信息技术的飞速发展，信息安全成为了企业级计算机系统中不可或缺的一部分，随着攻击手段的不断升级，业务模式的不断创新，不断出现了各类新型网络安全威胁。开发安全和供应链安全的重要性越来越凸显。

银行需要采用以安全为核心的开发模式，将安全性融入到业务的各个方面，并加强供应链安全管理，以确保业务和数据的安全性。

二、 项目要求

（一）动态应用安全检测系统要求：

1. 运行时接口发现与采集能力： 提供 Web 应用、单页应用及 API 的运行时黑盒爬取，不依赖指纹识别和漏洞特征库；通过 JS 语义分析提取动态路由、隐藏参数和隐藏接口，支持配置认证并维持会话与角色，遍历可访问端点与参数，输出结构化接口清单。

2. 参数级运行时漏洞检测能力：可在应用运行状态下模拟真实攻击，对每个可访问参数并行执行多维度注入分析，覆盖 SQL 注入（报错、时间、联合、布尔、宽字节）、命令执行、反序列化、表达式与模板注入、SSRF、XSS、文件包含与上传等，具备无回显 OOB 回连及 Cookie、Header 注入检测能力，不依赖已知POC即可发现自研应用中的未知漏洞。

3. 业务逻辑与访问控制检测能力： 可结合多角色会话、请求上下文和业务语义，对水平/垂直越权、未授权访问、批量参数校验缺失、敏感信息过度暴露进行检测；对需连续操作的权限路径，可沿业务链做多步验证，并基于请求响应、复现条件和确认状态完成复核，借助负对照降低将正常权限分级误判为越权的情况。

4. 检测编排与风险闭环能力：支持扫描策略、请求频率、并发数量等参数配置，具备专项应急扫描能力，并可通过 API / CI/CD 在发布流水线中自动触发扫描与安全卡关；支持按任务和漏洞台账聚合接口与漏洞结果，可按时间、风险等级查看，输出受影响接口、影响范围、复现证据及修复建议，并支持修复后回归验证和 API 对接。

（二）应用开发智能体辅助工具要求：

1. AI辅助威胁建模：以需求说明书或文档为输入，由借助本地AI能力分析业务场景，完**全需求的动态评审过程，减少人工重复分析，提升威胁建模的效率与一致性；通过MCP协议将安全规范以标准化能力开放给编程智能体，使其在编码过程中实时获取安全约束与建议，确保编程活动持续符合企业安全要求。

2. 智能体开发辅助：动态侧对智能体的思维链、工具调用及任务执行过程进行实时监控，及时识别越权调用、提示注入、敏感数据外泄等异常行为；静态侧对配置文件、Skill及其依赖进行安全扫描与合规校验，提前发现配置缺陷、恶意技能和供应链风险。

3. 漏洞修复优先级分析：汇聚开发工具多源数据，结合威胁情报开展关联分析，综合评估漏洞的可利用性、影响范围及业务关键程度，形成漏洞修复优先级建议，帮助安全团队合理排序修复任务、优化**投入，提升漏洞治理的针对性和时效性。

四、潜在供应商资格要求

1、具备独立法人资格，具有完成项目的技术力量，财务能力，具有履行合同的能力，合法合规经营，未因诚信问题而受到法律制裁；具有良好的商业信用和行业信誉；近三年内经营活动中没有重大违法记录；

2、2023年至今(以合同签署时间为准)，公司所承接的金融行业安全设备采购案例(3个以上)清单、简介、合同等证明材料；

3、与其它报名的供应商不存在任何关联关系。

五、潜在供应商需提交的材料及方式、时间

1、需提交材料

（一）营业执照、税务（国税、地税）登记证、组织机构代码证副本或统一社会信用代码证；供应商财务状况证明文件（即上一年度财务审计报告（三表一附注）；若上一年度未出具，可提供上上年度）；供应商资质认证文件；授权代表授权书；被授权人无犯罪****机关开具）；

（二）企业及服务团队简介；企业本地售后服务能力；与项目相关的企业及人员资质证书、社保证明等；

（三）2023年至今(以合同签署时间为准)，公司所承接的金融行业安全设备采购案例(3个以上)清单、简介、合同等证明材料；

****法院在“中国执行信息公开网”列入失信被执行人名单；未被国家企业信用信息公示系统（http://www.****.cn/）中列入严重违法失信企业名单；

****公司联系人、电话、电子邮箱、地址等。

注：上述资料均需提供加盖公章的扫描件。

2、提交方式：电子邮件****@jshbank.com，邮件名称****应用开发安全设备采购二期项目+供应商名称。

注意事项如下：

（一）、请按下表提供相关信息，并形成:项目名称+供应商全称.doc格式文件，作为邮件附件与其他资料一并提供；

（二）、其他提交材料要求将相关资料文件统一为一个文件发送，文件名为：项目名称+公司全称.PDF格式文件，邮件附件总容量不得超过10M；

（三）、****公司代表的企业邮箱发送；

（四）、不合格的提交资料，****公司，不予参与后续项目交流及供应商推荐。

3、提交时间：2026.****.20-2026.****.26、我行将根据供应商报名情况安排后续商务、技术交流时间。

六、联系方式

商务联系人：薛呈

联系电话：184****9518

邮箱地址：****@jshbank.com

技术联系人：周扬

联系电话：155****9190

邮箱：****@jshbank.com