安全运营团队安排补丁窗口时，把漏洞清单按评分排序，却被运维问住：同一漏洞落在公网入口、身份系统和备用节点，先动哪台？排序错误往往发生在这里：漏洞层面的严重性，被直接当成了资产层面的行动优先级。本文要回答的是，这种错位为什么发生，以及怎样把评分变成有证据的处置决定。

真正要评审的，是当前证据能否支撑这项决定：哪些风险必须先压住，哪些补丁可以进入常规窗口，哪些记录还缺信息。把排行榜