内容摘要：我认识一个白帽黑客，他叫老周。白天他在一家银行写风控系统，晚上就钻进各种开源软件的漏洞里翻找。有次他挖到一个电商平台的严重漏洞，能直接拿到后台管理员权限。按说这够他吹一年了，但他没声张，而是写了份详细

我认识一个白帽黑客，漏洞合法他叫老周。漏洞合法白天他在一家银行写风控系统，漏洞合法晚上就钻进各种开源软件的漏洞合法漏洞里翻找。有次他挖到一个电商平台的漏洞合法严重漏洞，能直接拿到后台管理员权限。漏洞合法按说这够他吹一年了，漏洞合法但他没声张，漏洞合法而是漏洞合法写了份详细的报告，附上复现步骤，漏洞合法悄悄发给了对方的漏洞合法安全团队。对方第二天就修复了，漏洞合法还给他寄了件文化衫。漏洞合法

这事搁二十年前，漏洞合法完全是漏洞合法另一个剧本。那时候发现漏洞的人分两种：一种是偷偷用，把数据库当自家后院；另一种是拿去卖，黑市上明码标价。没人觉得“报告漏洞”是个选项，因为压根没有“合法”这个概念。法律条文里只有“非法侵入计算机信息系统罪”，至于你进去之后干了什么——是偷数据还是只是看了看——区别不大。

转折点出现在2003年。美国有个叫“iDefense”的公司搞了个漏洞奖励计划，花钱收漏洞。当时很多人骂，说这是鼓励黑客犯罪。但后来微软、谷歌这些大厂跟进，发现给钱比打官司划算多了——你堵不住所有漏洞，但你可以让发现漏洞的人站在你这边。国内也是慢慢才跟上来的，像补天、漏洞盒子这些平台，把“提交漏洞”变成了一个正经职业。

法律上真正松动的信号，是《网络安全法》里那句“白帽子”免责条款的讨论。虽然到现在司法解释也没完全明确，但司法实践已经默认了一个行规：只要你不恶意利用、不公开细节、不索要额外报酬，提交漏洞本身不构成犯罪。我见过一个极端案例，有个学生发现某政务系统能绕过登录，他截图发到微博上提醒大家注意隐私泄露——结果被警方约谈。你看，同样是“发现漏洞”，一个合法一个不合法，界线就在“公开”和“私交”之间。

这里头有个很微妙的逻辑。法律惩罚的不是“发现”，而是“利用”。就像你发现邻居家钥匙插门上，你拔下来还给他是善举，但你拿钥匙开门进去坐一会儿，哪怕什么都不拿，也是非法侵入。漏洞本身是代码的缺陷，是客观存在的，就像门锁的齿痕。法律管的是人拿这个齿痕干什么。

所以“漏洞合法”这四个字，其实是在说：发现漏洞的行为本身，不该被当成犯罪。真正该被追责的是利用漏洞作恶的人。这个区分看似简单，但执法者花了快二十年才想明白。老周跟我说，他现在提交漏洞前会先看平台规则，确认对方有“漏洞接收”的公开声明——这既是自我保护，也是对规则的尊重。

漏洞永远挖不完，但法律得给愿意站在光明面的人留条路。否则，你逼着所有发现漏洞的人要么沉默，要么变坏，那才是真正的灾难。