本文针对开源软件（OSS）漏洞的安全补丁定位问题展开研究。安全补丁是防御漏洞威胁的关键，但现有方法主要依赖CVE/NVD中的辅助信息（如漏洞描述、影响版本）来缩小补丁提交的搜索范围，然而这些方法在实践中的覆盖率极低——初步研究表明，即使借助人工辅助，也只能覆盖约12%至53%的已披露OSS漏洞。为解决这一问题，论文提出了一种基于漏洞-提交相关性排序的新方法。该方法首先从漏洞报告（如CVE描述）和代码仓库中提取特征，然后通过计算漏洞描述与每个代码提交之间的语义相关性，对所有可能的提交进行排序，从而定位最可能包含安全补丁的提交。论文在多个真实世界的OSS项目上进行了实验，结果表明该方法显著优于现有匹配技术，能够有效提高补丁定位的准确率和召回率，覆盖更多未被现有方法发现的漏洞补丁。主要贡献包括：提出了一个新颖的相关性排序框架，解决了传统方法对辅助信息过度依赖的局限性；在多种开源项目上验证了方法的有效性；为安全补丁的自动化收集提供了新的思路。本文适合安全运维人员、漏洞分析师以及从事软件供应链安全的研究人员阅读。