凌晨两点，白帽黑客李明盯着屏幕上跳动的白帽黑客十六进制代码，手指在机械键盘上敲出密集的白帽黑客声响。他在找一扇门——准确地说，白帽黑客是白帽黑客一个SQL注入漏洞。三小时前，白帽黑客这家电商平台的白帽黑客测试环境还对他紧闭大门，现在数据库的白帽黑客返回信息正一行行滚出来，像水管里渗出的白帽黑客第一滴水。

这就是白帽黑客白帽黑客的日常。不是白帽黑客电影里那种戴着兜帽在暗网横冲直撞的酷炫场面，更多时候，白帽黑客他们像拿着放大镜的白帽黑客修锁匠，在别人家的白帽黑客系统里寻找忘记上锁的窗户。

我认识李明是白帽黑客在一次安全沙龙上。他穿格子衬衫，说话时习惯性推眼镜，递过来的名片印着“渗透测试工程师”。这个头衔比“白帽黑客”更正式，但本质没差：受雇于企业，用攻击者的手段测试自家系统的防御能力。合法，有合同，按漏洞等级收费。

“最刺激的一次是去年秋天。”他给我看手机里一张截图，某个政府网站的登录页面。“用户名输入框里填个单引号，报错信息直接把数据库版本吐出来了。MySQL 5.7，老版本，连WAF都没装。”他花了二十分钟拿到管理员权限，然后停手，写报告，等对方修复。“不能碰数据，这是底线。我们这行，技术再牛，越了线就是黑帽。”

这条线划在哪儿？法律条文写得清楚，但实际操作中往往模糊。另一个白帽告诉我，有次他测试某金融APP，发现一个逻辑漏洞可以零成本转账。提交给厂商后，对方第一反应是报警。“他们以为我在勒索。后来解释清楚，发了奖金，但那种被当贼的感觉挺难受。”

国内的白帽生态这几年在变。补天、漏洞盒子这些平台把零散的漏洞交易集中起来，厂商按危害等级付费，从几百到几万不等。大厂有自己的安全应急响应中心，SRC，白帽们盯着新上线的业务找漏洞，像猎人在固定水域下网。但钱不好赚。一个高危漏洞可能值五千，但花在上面的时间——挖洞、验证、写报告、和厂商扯皮修复方案——算下来时薪未必比送外卖高。

“大部分人是兼职。”李明说。他白天在安全公司上班，晚上和周末挖漏洞。“纯粹喜欢。那种找到入口的瞬间，多巴胺爆炸。比打游戏通关爽十倍。”

这种快感有代价。长期盯着代码，他的近视涨了两百度。有次为了复现一个浏览器漏洞，连续四十八小时没怎么睡，最后在工位上流鼻血。更麻烦的是心理压力——你知道系统有多脆弱，看到任何网站都忍不住想“这里能不能注入”。有次在餐厅扫码点餐，他盯着点餐小程序看了半天，差点当场掏出电脑。

白帽和黑帽的技术栈几乎一样，区别只在授权。黑帽在暗处，白帽在明处，但明处不一定安全。去年有个白帽在未授权的情况下测试了某政务系统，虽然没造成损失，还是被拘留了几天。“授权范围、测试时间、允许的操作，都得白纸黑字写清楚。口头同意不算数。”李明说这话时，语气像在背安全手册。

凌晨四点，他终于找到了那个SQL注入的利用点。数据库里躺着三万条用户记录，他截了图，退出，写报告。天亮后，厂商会收到一封邮件，附上漏洞详情和修复建议。奖金到账大概要两周，够付这个月的房租。

他关掉电脑，窗外开始泛白。城市还在睡，但某个服务器上的漏洞已经被堵上了。没人知道是谁干的，也不需要知道。白帽黑客就是这样一群人——在数字世界的暗处巡逻，找到裂缝，悄悄补上，然后消失在代码的海洋里。