cnvd漏洞证书

```html

去年冬天，一个做安全研究的证书朋友给我发了张截图。CNVD（国家信息安全漏洞共享平台）的漏洞漏洞证书，编号CNVD-2023-XXXXX，证书中危，漏洞某国产OA系统的证书SQL注入。他说：“攒够十张了，漏洞换个京东卡。证书”语气平淡得像在说今天中午吃了碗拉面。漏洞我盯着那张电子证书看了几秒——白底蓝边，证书国徽水印，漏洞落款是证书CNVD运营组。这玩意儿在圈子里到底算什么？漏洞

先说清楚它不是什么。CNVD证书不是证书CVE，不是漏洞CNVD自己的“官方认证”，更不是一张能挂在简历上让HR眼前一亮的资质。它本质上是一份漏洞报送的确认回执，证明你向国家平台提交了一个有效漏洞，并且平台审核通过了。就这么简单。没有奖金，没有排名，没有强制披露要求。你提交，他们确认，发个PDF，完事。

但你说它没用？也不对。2021年之前，CNVD证书在部分企业申请安全资质、参与项目投标时能凑个数。尤其是一些国企或政府项目的安全服务标书里，会写“团队成员需具备CNVD原创漏洞证书X张”。那时候确实有人专门刷这个。怎么刷？拿AWVS、Xray这类工具批量扫，把误报筛掉，挑几个能复现的提交。一个中等规模的资产列表，一个月刷五六张不算难事。后来平台改了规则，同一单位、同一类型的漏洞合并计数，批量提交的审核也严了。现在想靠扫描器混证书，成本高了不少。

真正靠手工挖洞的人，对CNVD证书的态度很微妙。我认识一个独立安全研究员，他挖了四年，手里有三十多张CNVD，其中三张高危。他从来不在简历里写这个。问他为什么，他说：“面试官如果懂，不用我写；如果不懂，写了反而被当成刷子。”他更愿意在GitHub上放漏洞分析文章和PoC。那才是硬通货。

CNVD证书还有一个尴尬的地方：它不公开漏洞细节。你拿到证书，但漏洞的技术细节、影响范围、修复方案，平台可能只给厂商和内部通报。外人看不到你做了什么。这就导致证书的“信号价值”很低。CVE至少有个公开的编号和描述，圈内人能顺着查。CNVD证书？编号一串数字，搜不到任何技术内容。你说你挖了个RCE，别人只能选择信或不信。

那为什么还有人攒这玩意儿？我观察下来，大概三类人。第一类是刚入行的学生，拿证书当学习里程碑，证明自己走完了“发现-验证-提交”的完整流程。第二类是安全公司员工，公司有KPI，要求每人每年提交一定数量的漏洞，证书是交差凭证。第三类是真·收集癖，就像有人集邮，他们集漏洞证书，纯粹图个乐。

前阵子CNVD平台更新了证书样式，加了二维码和验证链接。扫进去能看到漏洞标题、危害等级、报送时间。但依然没有技术细节。我问一个刚拿到证书的朋友：“你扫过那个码吗？”他说：“扫过一次，就显示‘该漏洞已修复’，没了。”我说那这证书到底证明啥？他想了想：“证明我某年某月某日，干了一件对的事。”

这话有点矫情，但仔细想想，可能就是这么回事。CNVD证书不是勋章，不是通行证，甚至不是一张有实际兑换价值的券。它更像一张收据——你向国家漏洞库交了一份作业，平台盖了个章说“收到了，谢谢”。至于这份作业值多少分，得看你自己怎么用。有人拿它换京东卡，有人拿它当简历的装饰，有人把它锁在抽屉里，继续挖下一个。

我那个朋友后来把十张证书的编号做成了一个列表，放在个人博客的“关于”页面最底下，字体很小，灰色。我问他为什么不放大加粗。他说：“懂的人自然会看到，不懂的人看到了也没用。”说完他又补了一句：“其实我自己也很少看。挖到的时候高兴五分钟，然后就想下一个了。”