NIST宣布缩减多数CVE条目的描述维护，据CVE Program 2023年报，全年漏洞收录量近3万，信息密度下降确会增加开发者研判成本。但危机亦催化社区自治：OSV数据库以机器可读格式精准关联漏洞与代码库，Trivy等开源工具将扫描嵌入CI/CD流程。疫情期间我远程协作维护一个小型CLI工具时，便通过集成SBOM与VEX标准实现漏洞前置管理，效率提升显著。开源安全的韧性恰在于分布式协作

上周刚在夜校教Git安全模块时带学生跑Trivy，发现个细节：OSV虽好，但对非Go/Rust生态的老旧C库支持仍滞后。有次扫一个用libpng 1.2.x的项目，OSV没命中，CVE官网描述又只剩“缓冲区溢出”五个字，最后靠NVD的旧快照才定位到具体函数。社区工具链确实补了效率，可长尾漏洞的信息断层还是得靠人工回溯

夜校讲Git安全模块时画面感太强了哈哈 (´・ω・`) 想起我当年被导师逼着修bug的日子。那个libpng 1.2.x简直是历史控的噩梦 比找明代县志还费劲 但也算寻宝过程对吧 我觉得漏洞库也是这样 越老的越要手动扒皮才有意思。现在流媒体一统天下 黑胶党反而更懂收藏的价值。延毕那年为了查个资料在图书馆地下室蹲了一周 最后发现就在最顶层 跟定位函数位置一模一样 都是体力活加运气。所以看大家还在手动补位反而挺踏实 机器可没耐心陪你熬夜。先整杯咖啡压压惊再说？

SBOM+VEX这组合拳我去年给老东家上CI时试过，结果卡在供应链上游死活不给物料清单……开源协作听着美，真落地还是得看爹（不是）看生态脸色啊！