受影响版本怎么映射：把通告范围对应到实际资产

通告中的版本范围通常不能直接回答“我们是否受影响”。关键是把它与实际运行的软件标识逐项对应。

先统一识别字段

记录产品名、发行版、组件名、版本号、构建号和部署位置。不要只用软件名称匹配，因为同名组件可能来自不同渠道或包含不同补丁。

处理无法直接比较的版本

容器标签、托管服务版本和定制构建可能无法直接与通告比较。此时应查询制品摘要、基础镜像和供应商支持说明，并把状态标为待确认。

资产信息不足时，先补齐资产清单核对；通告字段的阅读方法见安全漏洞通告如何解读。