爬虫抓数据，爬虫判刑的网站案例不少，但被抓的犯法从来不是爬虫本身，而是爬虫爬虫背后那个人干了什么。

2019年，网站某大型招聘网站员工利用爬虫抓取竞争对手的犯法用户简历，非法获取个人信息超过200万条。爬虫判了，网站三年半。犯法2021年，爬虫杭州一家数据公司用爬虫抓取某电商平台商品价格和库存信息，网站导致对方服务器过载，犯法造成经济损失。爬虫法院认定构成破坏计算机信息系统罪。网站这两个案子有个共同点：爬虫只是犯法工具，真正的罪责在于越过了边界——要么拿了不该拿的个人信息，要么把对方服务器搞瘫了。

法律条文其实写得挺清楚。《刑法》第285条说的是“违反国家规定，侵入计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据”——注意“违反国家规定”这几个字。什么叫违反？你公开的API接口，人家没设防，你正常调取，这不违法。但你要是绕过登录验证、破解加密参数、用代理池换IP规避封禁，那就妥妥踩线了。

我自己写过爬虫，也接过几个商业单子。说实话，市面上90%的爬虫项目都游走在灰色地带。比如抓取公开的工商注册信息，这没问题，数据本身就是政府公开的。但同样的爬虫，换个目标，去抓某社交平台的用户手机号——哪怕这些手机号在页面上是明文显示的，抓了也违法。因为《个人信息保护法》明确说了，处理个人信息要取得同意，爬虫抓取显然没经过用户本人同意。

有个细节很多人忽略：爬虫的访问频率。你一分钟请求100次，服务器没事；一分钟请求10000次，服务器扛不住，这就可能构成“破坏计算机信息系统罪”。我见过一个案子，被告就是写了个循环，忘了加延时，结果把人家小网站的数据库拖垮了。你说他主观恶意？没有。但法律不看动机，看结果。网站损失了几万块的服务器费用，他赔了钱，还留了案底。

所以问题的核心从来不是“能不能爬”，而是“爬什么”和“怎么爬”。爬公开的、非敏感的数据，用正常的访问频率，不绕过任何技术保护措施——这基本没事。反过来，你要是爬了需要登录才能看的内容，或者抓了用户隐私数据，哪怕代码写得再漂亮，也是给自己挖坑。

我认识一个做爬虫外包的哥们，现在只接政府公开数据和学术论文抓取的活儿。他说以前什么单子都敢接，直到有个客户让他去爬某银行的企业贷款信息，他看了一眼对方出的价格——50万。他直接拒了，转头就把聊天记录存了档。“这钱烫手，拿了就是去踩缝纫机。”他这话糙理不糙。

真要给个判断标准，就三条：数据是不是公开的？你访问的时候有没有绕过什么限制？抓下来的数据拿去干嘛了？三条都干净，爬虫就只是工具。任何一条越界，那就不是技术问题，是法律问题了。