计算器是干什么的
FIRST 官方计算器按你填写的向量实时算出分数：3.1 计算器输出基础分、时序分与环境分，4.0 计算器输出 CVSS-B/BT/BE/BTE 四档分。4.0 的打分不再是简单加权公式，而是按宏观向量查表再插值，手工推算极易出错，因此正确做法是先用四步法定指标，再把向量交给计算器核对。
基本信息
| 官方入口 | first.org/cvss/calculator 下的 3.0 / 3.1 / 4.0 页面 |
|---|---|
| 输入 | 完整向量，前缀必须与版本一致 |
| 输出 | 分数 + 严重级别 + 归一化向量 |
| 用法 | 网页表单直接改指标，或调用第三方库批量计算 |
官方入口
官方入口
https://www.first.org/cvss/calculator/3.1 # 3.x 向量用这个
https://www.first.org/cvss/calculator/4.0 # 4.0 向量用这个，支持 B/BT/BE/BTE
# 第三方库（如 Python 的 cvss 包）通常只覆盖到 3.x，版本落后于规范时结果可能不同
# 与官方结果不一致时，第一步不是怀疑算法，而是逐段比对两边向量是否完全一致手工估算四步
手工估算四步
1. AV/AC/PR/UI（4.0 再加 AT）定能不能打进来
2. S/C/I/A（4.0 为 VC/VI/VA + SC/SI/SA）定打进来影响多大
3. 套计算器得到基础分，核对与预期是否一致
4. 补 E/RL/RC 或环境覆写，得到内部处置分典型使用场景
- 收到厂商公告后复算分数，确认引用时没有把版本或档位写错
- 内部定级时叠加环境指标，把「互联网可达」与「仅内网可达」区分开
- 批量处理上百条漏洞时用脚本生成向量，再抽样用官方计算器校验
- 复核外部自评分：把对方给的向量粘进计算器，看分数是否能复现
- 编写通报与工单模板时，把向量字段设为必填，分数为计算得出
常见核对项
| 现象 | 常见原因 | 处理方式 |
|---|---|---|
| 计算器报错 | 向量前缀与计算器版本不匹配 | 改用对应版本页面或修正前缀 |
| 分数与厂商不一致 | 环境/威胁指标取值不同 | 逐段比向量，记录分歧指标 |
| 同一漏洞两个分数 | 一个来自 3.1、一个来自 4.0 | 按版本标注，不混排排序 |
| 批量脚本结果偏差 | 第三方库未跟上规范版本 | 仅用于初筛，结论以官方计算器为准 |
通报里写分数时同时附上完整向量与版本档位，便于复核者复现；只给一个数字，出现口径争议时无从追溯。
风险接受或降级处理要单独记录理由（如存在补偿性控制），不要靠私自调低环境指标来「达成」分数，那会让评分失去审计价值。