为什么需要编号对照表
同一个漏洞可能同时存在于多个编号体系：国际 CVE、国内的 CNVD 与 CNNVD，以及厂商自有编号（如 MSRC、RHSA）。如果台账把这些编号都当作独立条目，就会出现重复派单、漏修与统计口径混乱。可行的做法是维护一张编号对照表，指定一个主编号，其余作为别名。
基本信息
| 涉及体系 | CVE、CNVD、CNNVD、厂商自有编号 |
|---|---|
| 主编号选择 | 优先 CVE，缺失时用厂商编号 |
| 别名维护 | 对照表单独维护，工单只挂主编号 |
| 统计口径 | 按主编号去重后计算 |
| 影响范围 | 同一漏洞在不同库的描述范围可能略有差异 |
典型使用场景
- 工单去重：修复方收到多条工单时，确认是否指向同一漏洞
- 国产化环境：只用 CNVD 编号的内部公告与 CVE 台账做映射
- 厂商补丁跟踪：把 RHSA、MSRC 等厂商编号映射回 CVE
- 历史数据迁移：迁移前先做编号归一，再统计修复率
- 对外通报：同一漏洞附带多个编号时，注明以哪个为准
台账字段示例（CSV）
台账字段示例（CSV）
asset,cve,cnvd,cnnvd,vendor_id,title,severity,owner,due_date,status
web-01,CVE-2021-44228,CNVD-2021-46512,,,Log4j 远程代码执行,紧急,张三,2021-12-17,已修复
web-02,CVE-2017-0144,CNVD-2017-03073,,MS17-010,SMB 远程代码执行,高,李四,,超期
# 一行代表一个资产上的一处问题，多个编号字段并存，便于按任一编号检索去重逻辑
去重逻辑
主键：影响资产 + 漏洞语义（以 CVE 为主，缺失时用厂商编号）
别名映射表单独维护，工单只挂主编号
统计以主编号去重后计算
# 迁移顺序：先编号归一 -> 再去重合并 -> 最后统计修复率编号体系对照
| 体系 | 范围 | 使用建议 |
|---|---|---|
| CVE | 国际通用，主流工具均支持 | 作为主编号首选 |
| CNVD | 国内漏洞库，含部分本地漏洞 | 与 CVE 双向映射 |
| CNNVD | 国内另一编号体系 | 映射为主，不重复建单 |
| 厂商编号 | 与具体产品补丁绑定 | 映射回 CVE 后再派单 |
历史数据迁移时先做编号归一，再统计修复率，否则同一个漏洞会被计成两三条，数字重复膨胀，趋势分析全部失真。
对照表要有维护责任人：新披露漏洞由谁录入映射、多久内补齐，约定清楚才不会出现『工单挂 CVE、客户问 CNVD』时两边都对不上的情况。