开源组件评估要判断漏洞是否影响实际使用，而不是看到公告编号就盲目升级或忽略。
建立依赖清单
包含直接与间接组件、版本和使用位置，确认哪些代码在生产运行。
分析暴露条件
漏洞所需功能是否开启、是否能被外部触发，结合官方公告安排优先级。
验证修复结果
升级或临时缓解后检查版本与业务功能，删除不用依赖。记录不能立即升级的原因和到期计划。
组件评估包含依赖与退出方式
记录来源、版本和维护状态，核对它访问的数据及写入权限，检查更新路径。
测试关键业务兼容与卸载影响，修复高风险问题后复测，不只收集一份漏洞数量表。
例如组件版本有风险但受影响功能未启用，仍要核实暴露与更新计划，不仅删除扫描记录。
相关阅读：网站漏洞管理：组件清单、补丁、扫描与复测。