原创漏洞证明证书有什么用

一个做安全研究的原创有什用朋友去年卖了个漏洞，某开源CMS的漏洞远程代码执行。买方是证明证书家做WAF的厂商，成交价不算高，原创有什用五位数出头。漏洞但他说真正有意思的证明证书不是钱——是那张证书。厂商把漏洞编号、原创有什用影响范围、漏洞修复建议写进一张PDF，证明证书盖了章，原创有什用发回来。漏洞他把这张纸贴在了自己的证明证书简历里。三个月后跳槽，原创有什用面试官第一句话就是漏洞：“你那个CVE-2023-XXXX是你独立提交的？”

这就是原创漏洞证明证书最直接的价值：它把“我发现了什么”变成“我被承认发现了什么”。

没有这张证书，证明证书你说破天也只是口头描述。有了它，哪怕漏洞本身已经被修了、厂商跑路了、代码库删了，证书上的编号和签发单位依然能证明你当时做了这件事。安全圈认这个。面试官认这个。甲方招标时翻你的资质文件，也认这个。

但别把它想得太神。证书的含金量完全取决于谁签的。

CNVD（国家信息安全漏洞共享平台）的证书，和某小厂商自己打印的“感谢信”，分量差着量级。前者有官方背书，编号可查，在政企项目投标里能当资质用。后者说白了就是一张纸，遇到较真的HR，人家搜都搜不到。我见过有人拿某云厂商SRC的积分截图当证明，也见过有人把CNVD的通用型漏洞证书裱起来挂工位。区别在哪？前者是“我参与了”，后者是“我独立发现了”。

另一个容易被忽略的作用：证书是给未来自己留的证据链。

漏洞这东西有时效性。你今天交的漏洞，明天厂商修了，后天官网公告撤了。两年后你写回忆录、做技术分享、甚至评职称，拿什么证明？证书上的时间戳和漏洞描述就是锚点。我认识一个做IoT安全的老哥，2016年交的某路由器后门漏洞，当时没当回事，证书随手塞抽屉。2021年那款路由器被曝出大规模利用，他翻出证书发了条朋友圈，当天就有三家媒体找他采访。

还有个灰色地带：证书能当“免责声明”用。

你挖漏洞，走的是厂商SRC或CNVD渠道，拿到证书意味着厂商认可了你的测试行为。万一哪天厂商翻脸说你入侵，证书就是你的护身符。当然前提是你真走了正规流程，别一边交漏洞一边留后门。那种事证书救不了你。

说点实际的。如果你手里有原创漏洞，优先交CNVD或CNNVD，别嫌流程慢。厂商SRC的证书也有用，但适用范围窄——跳槽去那家厂商或它的生态公司，加分；去别家，人家可能连名字都没听过。至于第三方众测平台的证书，看看就好，别当核心资产。

最后说句得罪人的话：证书本身不值钱，值钱的是它背后那个漏洞。一个能打穿某主流框架的0day，哪怕没证书，圈子里口口相传也能把你捧起来。反过来，一个只影响某冷门插件、需要用户手动开启调试模式的“漏洞”，证书印得再漂亮，内行人看一眼描述就笑了。

所以别为了攒证书去挖垃圾洞。那东西骗外行可以，骗不了面试官。真正有用的证书，是你半夜三点盯着屏幕、手抖着敲下最后一行PoC、提交后等了两周才收到的那封确认邮件。那张纸只是顺便拿的。