问题库/创业与副业
客户让我测他竞争对手的网站，能接吗
没有书面授权就不测别人的系统，「出于好意」和「事后上报」在法条里都不算出罪理由。授权要写清测哪些域名、什么时间段、能到什么程度，超出范围一样算越界。
这里不保证什么
授权书由谁签、签的人有没有权限，决定这单能不能接，最好让对方盖章；已经测出漏洞的按规定报送，修补前别公开细节、别把利用工具发出去。
展开看依据3 条 · 点标题进原条目
没有书面授权不测别人的系统，「出于好意」和「事后上报」在法条里都不是出罪理由
法条定罪看的是有没有授权、拿到了多少，没提你本意是什么。拿到 500 组普通账号密码，或者挣到 5000 元、让对方损失 1 万元，就够判 3 年以下。为了证明漏洞顺手导一张用户表，常常一次就过了 500 组。手里有账号密码，用在授权范围以外也算侵入。
- 动手前要一份写明授权范围、目标清单、可测时间段的书面文件
- 验证到漏洞确实存在就停手，别再顺手往下导一张用户表
- 别用工作里拿到的账号密码登授权范围以外的系统
坑好意和事后上报在法条里都不是出罪理由：刑法和 2011 年的解释都没写这两条，只可能影响判多重；厂商道谢也不等于授权。
成本：不花钱。参加厂商 SRC 或者众测之前，先拿到写明授权范围、目标清单和可测时间段的文件。SRC 是厂商自己办的安全应急响应中心，专门接收外部报来的漏洞。验证到漏洞确实存在就停手。难在放弃「顺手试一下」这一下第 11 节 · 程序员和技术人容易踩的红线
出处
全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. <https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html>（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. <https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml>；央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. <https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html>（网页存档 <https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html>）
动手前先问一句：厂商、平台、公司会不会去报案；被追究后马上找刑事律师
动手之前先问一句：厂商、平台、公司会不会去报案。服务器日志、支付记录、群聊记录，办案机关都有权调取。真被刑事拘留了，最长 37 天内决定抓不抓你。从第一次问话起你就能请律师，律师可以向检察院提不该批捕的意见，也可以申请取保。
- 动手前先写下三句话：谁会因此受损、他会不会报案、我拿什么应对
- 把钱、聊天记录、服务器日志都当成日后会被调取的证据，别留没用的
- 真被带走或第一次问话，当天就联系刑事律师，赶在批捕前递意见
坑37 天不是关押上限，只是拘留到决定批不批捕这一段；批捕之后接着往下算，等到起诉再找律师，这一关已经过去了。
成本：不花钱。动手前把「技术上能不能做」换成另一个问题：厂商、平台、公司会不会去报案。难在忍住「这点小事没人管」的念头，因为服务器日志、支付记录、群聊记录，办案机关都有权调取第 11 节 · 程序员和技术人容易踩的红线
出处
全国人大 (2018). 刑事诉讼法（2018 年修正，第三十四、三十九、五十四、六十七、七十九、八十八、九十一、九十七、一百一十、一百一十二条）. <https://www.spp.gov.cn/zdgz/201810/t20181027_396818.shtml>
漏洞按规定报送，修补前不公开细节、不发利用工具、不交给境外
个人也归《网络产品安全漏洞管理规定》管。厂商拿出修补办法之前，你不能公开漏洞，也不能公开正在用的系统的漏洞细节。不能发专门利用漏洞的程序和工具，公开时要同时说清怎么修。没公开的漏洞，不能交给厂商以外的境外组织和个人。
- 把漏洞报给产品提供者，或者报给工信部等四个官方平台
- 厂商修好之前不公开细节，也不发验证代码和利用工具
- 要公开发布就同步写清修补办法，别把未公开漏洞交给境外
坑「只是个业余爱好者」不在例外里：规定把个人明确写进了管的对象，往境外赏金平台提交国内系统的洞，正落在不得提供给境外这一条。
成本：不花钱。把漏洞报给产品提供者，或者报给官方平台。厂商修好之前，不发细节，也不发验证代码第 11 节 · 程序员和技术人容易踩的红线
出处
工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. <https://www.gov.cn/gongbao/content/2021/content_5641351.htm>；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. <https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm>
同类问题
这条回答是给一个正在着急的人写的，不是法律意见或医嘱。 金额大、动到人身、或者已经进到程序里，去找律师、医生和办事窗口。