漏洞扫描的漏洞价格，从几百块到几十万都有。扫描别急着骂我废话，多少这中间的漏洞差距比想象中更实在。
上个月一个做电商的扫描朋友找我，说供应商报价八千块做一次全站扫描，多少他觉得贵。漏洞我问他网站多大，扫描他说大概两百个页面，多少用的漏洞开源CMS，还挂着几个老插件。扫描我直接说，多少八千确实贵了，漏洞但你换个思路——这钱不是扫描买扫描，是多少买那个安全工程师的脑子。他后来花了三千，找的独立顾问，扫出十七个漏洞，其中两个能直接拿后台权限。值不值？他连夜改了密码。
真正的价格分水岭在“扫描”和“渗透测试”之间。纯扫描是机器干活，AWVS、Nessus这类工具跑一遍，输出报告，几百到两千算是市场公道价。但机器永远只会告诉你“这里有洞”，不会告诉你“这个洞能怎么被利用”。渗透测试是人工模拟攻击，一个靠谱的测试员一天成本至少一千五，测个中型系统没个三五天下不来。所以报价一万到五万，别觉得黑，那是人家在替你思考攻击路径。
那些标价99块包年的，劝你直接关掉。漏洞扫描不是买菜，数据库里躺着的POC（概念验证代码）更新速度比你的系统补丁还快，廉价工具用的漏洞库可能还停留在三年前。我见过一个客户，贪便宜用了某云厂商的免费扫描，报告显示“零风险”，结果两个月后被勒索病毒找上门，数据全加密。后来查出来，漏洞就是那个免费工具根本没覆盖的API接口。
真正影响价格的因素，我列几个实在的：资产数量（域名、IP、API接口都算）、系统复杂度（微服务架构比单体贵一倍不稀奇）、合规要求（等保三级、GDPR这种，报告格式就得单独定制）。还有响应时效——你要求48小时内出报告，那得加急费，人家工程师得熬夜调规则。
最容易被忽略的是“误报率”成本。低价扫描器给你报两百个漏洞，你让开发团队挨个排查，三天人力搭进去，结果一半是误报。高价服务商敢承诺“人工复核”，每一页都经过验证，省下的是你团队的时间。算这笔账，别只看单价。
我自己给客户报价的习惯是：先问清楚他们要过什么检查，是应付等保测评还是真担心被黑。应付检查的，两千块的扫描加报告，够用了。真怕被黑的，我建议预算至少两万起，而且要包含复测。你猜怎么着？大部分选前者的，第二年都回来补买后者的服务——因为第一年真出事了。
所以，别问“多少钱”，先问“我要防什么”。价格是结果，需求才是源头。你要是就一个静态展示官网，五百块都嫌多；你要是跑着用户支付数据，五万块都算便宜。这个道理，跟买车一样——奥拓和奥迪都叫车，但安全配置能一样吗？