凌晨两点十七分，漏洞我的派出手机弹出一条推送：“您提交的XSS漏洞已被确认，等级：中危，漏洞奖金已入账。派出”

困意瞬间没了。漏洞我翻了个身坐起来，派出盯着那行字看了三遍——不是漏洞因为钱，而是派出因为“确认”这两个字。从提交到确认，漏洞整整等了四十三天。派出这四十三天里，漏洞我每天刷新后台三次，派出像蹲在派出所门口等消息的漏洞报案人，焦虑又执着。派出

后来我想明白了，漏洞漏洞报告平台本质上就是个派出所。白帽子们是线人，厂商是受害者，而漏洞本身，就是流窜在网络世界的犯罪嫌疑人。

上个月我提交过一个越权漏洞，能查看任意用户的订单信息。写报告时我犹豫了很久，要不要把利用过程写得太详细。写浅了，审核员可能复现不了；写深了，又怕被别有用心的人截胡。最后我选择了一种折中的写法：附上截图，但把关键参数做了模糊处理。就像线人给警方提供线索，总不能把作案工具也双手奉上。

审核周期是最磨人的。有的平台像朝阳群众，反应神速；有的则像老派刑警队，流程繁琐。我有个朋友曾提交过某个知名电商的漏洞，三个月后才收到回复，还是“已忽略”——原因是他们内部已经发现了这个问题。他气得在群里骂街：“早发现早修复，为什么不公开？”可现实就是这样，很多企业宁愿捂着漏洞偷偷补，也不愿承认自己曾经裸奔过。

真正让我觉得这像派出所的，是漏洞的“结案归档”。每个被确认的漏洞都有编号，有等级，有修复时间。你甚至能查到历史漏洞的处置记录，像翻阅公开的判决书。有一次我翻到一个两年前的漏洞，提交者备注里写着“该漏洞可能导致用户密码泄露”，厂商回复“已修复”。但我在那家网站上注册了个测试账号，试着用老套路打了打——居然还能绕过。那一刻我特别想给那个平台打电话：“喂，你们这案子是不是办得有点草率？”

当然，派出所也有黑警。某些众测平台会把白帽子的报告转手卖给厂商赚差价，甚至压价收稿。我见过一个兄弟，挖了个高危漏洞，平台只给了五百块，转头厂商却给平台打了五万的“安全服务费”。这种地方，线人永远是被剥削的底层。

但还是有人前赴后继地往里递材料。为什么？因为当你提交的漏洞被确认、被修复，看着那行“已修复”的状态亮起来时，会有一种微妙的成就感——你参与了一次抓捕，让某个数字世界的隐患消失了。哪怕没人知道是你干的，哪怕奖金只够吃顿火锅。

这大概就是漏洞派出所存在的意义吧。它不完美，有漏洞（这话听着像废话），但至少给了我们这些技术流一个报案的地方。比起在暗处交易漏洞的黑市，这里好歹有个流程，有个说法。

现在我又盯着后台，等另一个漏洞的审核结果。它已经躺了九天，状态栏还是“待处理”。我猜那个审核员大概在喝茶，或者在处理比我更棘手的案子。无所谓，我习惯了。

毕竟，派出所嘛，总有破不完的案子。