内容摘要：打开 cnnvd.org.cn 这个域名，页面干净得有点不像“国家级”网站。没有弹窗，没有花哨的横幅，左侧一列导航，中间一个搜索框，底下滚动着最新收录的漏洞条目。第一次来的人可能会愣一下——就这？但搞

打开 cnnvd.org.cn 这个域名，漏洞页面干净得有点不像“国家级”网站。官网没有弹窗，漏洞没有花哨的官网横幅，左侧一列导航，漏洞中间一个搜索框，官网底下滚动着最新收录的漏洞漏洞条目。第一次来的官网人可能会愣一下——就这？但搞安全的人知道，这里藏着国内最完整的漏洞一套漏洞身份档案。

CNNVD 全称是官网中国国家信息安全漏洞库，归中国信息安全测评中心管。漏洞它跟美国那个 NVD 长得像，官网名字也像，漏洞但脾气完全不同。官网NVD 背后是漏洞 NIST，走的是标准化流程，漏洞编号、CVSS 评分、CWE 分类一套组合拳。CNNVD 也发编号，格式是 CNNVD-年份-序号，比如 CNNVD-202403-1234。这个编号在乙方安全厂商的报告中出现的频率越来越高，因为甲方开始认了。

我翻过几次它的漏洞详情页。信息密度不算高，但关键字段都在：漏洞名称、CNNVD 编号、CVE 编号（如果有）、危害等级、漏洞类型、发布时间、更新日期，还有一段描述和参考链接。描述写得比较克制，不像某些商业漏洞库那样把危害吹上天。参考链接有时会指向厂商公告，有时指向补丁页面，偶尔也会挂上国内安全团队的博客分析。这个细节挺有意思——它不避讳引用民间研究者的成果。

有个做等保测评的朋友跟我说，他们现在写报告，漏洞那一栏如果只写 CVE 编号，甲方可能会问“CNNVD 那边收录了吗”。这不是形式主义。CNNVD 的收录速度在某些场景下比 CVE 快，尤其是国产软件和国内厂商的漏洞。CVE 的分配流程有时要等 MITRE 那边的协调，CNNVD 可以直接跟厂商对接，先发编号再补细节。这种“先上车后补票”的做法有争议，但对应急响应来说，编号先下来，沟通成本就低了一截。

网站有个漏洞公告栏目，按时间倒序排列。我注意到一个现象：有些漏洞的 CNNVD 编号跟 CVE 编号同时出现，有些只有 CNNVD 编号。后者通常是国内厂商的产品，比如某些 OA 系统、国产数据库、工控组件。这些漏洞在国际漏洞库里往往被忽略，但在国内政企环境里可能是要命的东西。CNNVD 把这块补上了，算是做了件实事。

搜索功能不算好用。关键词匹配有时候会漏，高级搜索藏得有点深。但它的订阅接口和 API 是开放的，虽然文档写得像天书。我试过用它的 API 拉数据，返回的 JSON 结构还算规整，字段命名也直白。对搞自动化漏洞管理的人来说，这比爬网页强多了。

有个细节值得说：CNNVD 的漏洞分级没有完全照搬 CVSS。它有自己的危害等级划分——超危、高危、中危、低危。这个分级有时候跟 CVSS 评分对不上。一个 CVSS 7.5 的漏洞，在 CNNVD 可能标成“高危”，也可能标成“中危”。原因不透明，可能是人工研判，也可能是参考了国内的实际利用情况。这种“土办法”有它的道理，但对外沟通时容易产生歧义。

网站更新频率不算稳定。有时候一天几十条，有时候几天没动静。遇到重大漏洞，比如 Log4j 那种级别的，CNNVD 会出专题，把相关漏洞、影响范围、修复建议打包在一起。这种响应速度值得肯定，但专题页面的排版实在不敢恭维，信息堆在一起，找东西得靠 Ctrl+F。

总的来说，CNNVD 官网不是一个让人“逛”的网站。它更像一个仓库，东西摆在那儿，你自己去翻。界面朴素，功能直接，没有花架子。对安全从业者来说，它是个绕不开的参考源。对普通用户来说，可能一辈子都不会点进去。但正是这种“不讨好所有人”的定位，让它保持了工具属性。漏洞库不需要好看，需要的是准确、及时、可查。CNNVD 在这三点上，及格了，偶尔还能给个惊喜。