查CNNVD漏洞证明，洞证很多人第一步就卡住了。明查点开官网，洞证输入编号，明查结果页面要么跳转空白，洞证要么提示“暂无数据”。明查这不是洞证你操作有问题，是明查CNNVD本身就不对外直接提供漏洞证明文件的公开下载。它更像一个目录索引，洞证告诉你某个漏洞被收录了、明查编号是洞证多少、危害等级如何，明查但真正能拿去给甲方或领导看的洞证“证明”，得走另一条路。明查

我去年帮一个做等保测评的洞证朋友查过CVE-2023-21839的CNNVD对应记录。官网搜到CNNVD-202301-XXX，页面上有描述、参考链接、补丁信息，唯独没有“证明”两个字。他当时就急了，说客户非要一份盖了CNNVD章的PDF。我告诉他，CNNVD的证明一般出现在两种场景：一是漏洞报送证书，那是给提交者的；二是漏洞通报或处置支持，通常发给受影响单位或主管部门。普通开发者想拿一份通用证明，基本没戏。

那实际工作中大家怎么“证明”一个漏洞被CNNVD收录了？最土的办法是截图。打开CNNVD官网的漏洞详情页，把URL、编号、标题、发布时间一起截进去，再配上CVE编号交叉引用。甲方如果懂行，看到CNNVD-2023XXXX这个格式就认了。不懂行的，你截得再全他也怀疑是PS的。这时候可以补一个CNNVD的邮件订阅记录——官网有漏洞通报订阅功能，每次收录会发邮件，邮件里有编号和摘要，转发给甲方比截图更有说服力。

有个做金融行业漏洞管理的老哥跟我说过更绝的招。他们公司直接给CNNVD发了公函，申请某个高危漏洞的收录证明，用于内部合规审计。CNNVD那边还真回了，给了一份带公章的扫描件。但前提是你得说清楚用途，而且漏洞得是他们收录过的、影响范围明确的。他那次申请的是Apache Log4j2的漏洞，CNNVD-202112-XXX，回复大概等了五个工作日。所以这条路走得通，只是不适合个人开发者，也不适合批量查。

再说个容易踩的坑。CNNVD和CNVD经常被搞混。CNVD是国家信息安全漏洞共享平台，CNNVD是中国国家信息安全漏洞库，两个库的编号格式不一样，收录标准也有差异。有人拿着CNVD的证明去糊弄CNNVD的查询，结果编号对不上，场面很尴尬。我一般建议先确认对方要的是哪个库的证明，再决定去哪个官网折腾。CNNVD的编号是CNNVD-年份-序号，比如CNNVD-202401-1234，CNVD则是CNVD-2024-12345，一眼就能分辨。

如果你只是自己查着玩，或者写报告需要引用，那直接访问CNNVD官网的漏洞检索页面就行。输入CVE编号或者关键词，能查到就说明收录了。查不到也别慌，可能是还没同步，等几天再试。真要一份“证明”，最稳的办法是联系CNNVD的运营方——中国信息安全测评中心，发邮件问清楚流程。别去淘宝买什么“CNNVD漏洞证明代办”，那玩意儿全是假的，编号都对不上官网记录。

最后说个观察。CNNVD的查询体验这几年其实在变好，但证明文件这块始终没开放自助下载。我猜是因为漏洞证明涉及责任认定，不能随便给。所以别指望一个按钮就能搞定，该发邮件发邮件，该走公函走公函。实在不行，把官网查询结果页打印出来，手写一句“经查询CNNVD官网，该漏洞编号真实有效”，签上名字和日期，也比空口说白话强。

(责任编辑：时尚)