内容摘要：去年冬天，一个做安全测试的朋友给我看了份漏洞报告。某政务系统里一个SQL注入，能直接拖走几十万条公民信息。他提交了三次，厂商回复都是“已修复”。第四次他换了个邮箱重新提交，对方秒回：请提供CNVD或C

去年冬天，漏洞资质一个做安全测试的漏洞资质朋友给我看了份漏洞报告。某政务系统里一个SQL注入，漏洞资质能直接拖走几十万条公民信息。漏洞资质他提交了三次，漏洞资质厂商回复都是漏洞资质“已修复”。第四次他换了个邮箱重新提交，漏洞资质对方秒回：请提供CNVD或CNNVD的漏洞资质漏洞编号，否则不予受理。漏洞资质

他当时就笑了。漏洞资质漏洞明明还在，漏洞资质但没那张“资质纸”，漏洞资质人家连看都不看。漏洞资质

这事让我开始留意“漏洞资质”这个词。漏洞资质严格来说它不是漏洞资质官方术语，是我自己攒出来的一个说法。指的是围绕漏洞发现、提交、认定、披露这一整条链上，各种被要求出示的证明、编号、授权、备案。它们本身不修复任何代码，但决定了漏洞能不能被承认、由谁承认、以什么价格承认。

谁在发资质

国内能发漏洞编号的机构，一只手数得过来。CNVD（国家信息安全漏洞共享平台）、CNNVD（国家信息安全漏洞库），加上几家拿到授权的企业SRC。厂商自己发的致谢和CVE编号，在国际上管用，在国内某些场景反而不作数。

问题在于这些机构的认定标准并不透明。同样一个逻辑漏洞，A提交被驳回说“危害不足”，B提交就通过了，差别可能只是B挂靠在一家CNVD支撑单位名下。我见过最离谱的案例：两个白帽子挖到同一个0day，一个走CNVD拿了三千块奖金，另一个因为没挂靠单位，材料在系统里躺了两个月，最后漏洞被厂商自己悄悄修了，连句谢谢都没有。

资质在这里成了一道过滤网。它筛掉的不是漏洞质量，是提交者的身份。

厂商那边的算法

企业SRC更直接。某大厂的安全响应中心明文写着：非合作安全团队提交的漏洞，评分系数打七折。你没听错——同一个漏洞，换个提交主体，价格差三成。他们给的理由是“合作团队经过审核，可信度高”。翻译一下：我们信的是你的资质，不是你的技术。

这直接催生了一个灰色市场。有资质的团队接单，没资质的白帽子干活，漏洞报告上署谁的名，事先谈好分成。一个CNVD编号能卖到几千块，如果是高危漏洞的“首发资质”，价格还能翻倍。漏洞本身没变，变的只是那张纸的归属。

资质到底保了谁

官方说法是，资质管理能防止漏洞被恶意利用，确保披露流程可控。逻辑上说得通。但实际操作中，它更像一道护城河——保护的是有资质的一方，不是漏洞本身。

我跟踪过三个案例。第一个，某医院系统漏洞，白帽子通过CNVD提交，厂商拖了四十天才修复，期间数据一直在裸奔。第二个，同一类漏洞，另一个白帽子直接发在GitHub上，厂商三天就出了补丁。第三个最讽刺：一个已被CNVD收录的漏洞，因为厂商没买“漏洞管理服务”，修复排期排到了半年后。

资质没让修复变快，也没让漏洞变少。它只是让“谁有资格说这里有漏洞”这件事，变成了一门生意。

一个具体的细节

去年某次安全会议上，一个厂商安全负责人私下说，他们内部有个“资质白名单”。不在名单上的提交者，漏洞报告直接进垃圾箱，连自动回复都没有。我问他，万一漏掉真漏洞呢？他摊手：那也没办法，人力有限，先看有资质的。

这句话我记了很久。漏洞不会因为提交者有没有资质就消失。但在这个体系里，没资质的人喊破嗓子，可能还不如有资质的人随手填个表。

漏洞资质，本质上是一套信任代理机制。问题是，当代理成本高到一定程度，真正干活的人就被挤出去了。而那些握着资质的人，未必比挤出去的人更懂漏洞。

朋友最后没再提交那个SQL注入。他把细节匿名发在了某论坛，三天后漏洞被修复。没有编号，没有致谢，没有奖金。他说，至少数据安全了。