国自然2022查询漏洞

2022年9月，国自国自然放榜后的然查一周，某双一流高校科研处内部流传着一张截图。询漏截图里是国自某个申请代码下的全部项目清单，但每行末尾多了一列——基金委系统后台的然查“分组评审专家名单”。这份名单本应在放榜后自动销毁，询漏却因为系统导出功能的国自一个参数错误，整整暴露了三天。然查

更麻烦的询漏是，这个漏洞并非孤例。国自有程序员出身的然查申请人发现，只要修改网址末尾的询漏projectNum参数，就能在放榜前夜提前看到自己项目的国自“建议资助”状态。那个字段藏在页面源码的然查隐藏div里，前端不显示，询漏但接口返回的数据包里写得明明白白。消息传开后，某学术论坛连夜出现一个帖子，标题是《2022年医学部面上项目漏洞查询方法》，三小时内浏览量破十万，随后被管理员删除。

这事有意思的地方在于，基金委的官方回应很微妙。他们既没承认也没否认漏洞存在，只在次年的申请指南里加了一句“严禁任何形式的系统探测行为”。可圈内人都知道，2022年那批提前查到状态的申请人里，有人确实中了，也有人没中——因为那个隐藏字段的返回值在最终审定前还会变。也就是说，漏洞暴露的是“上会讨论后的初步建议”，而非终审结果。

我认识一位青基申请人，那天凌晨三点刷到自己的项目状态显示“建议资助”，高兴得睡不着。结果放榜那天，他的名字不在名单上。后来他复盘，发现那个字段在他查询后第三天就悄悄改回了“不予资助”。这说明什么？说明系统后台的每一次修订都有日志，但日志只对内部开放。他气得在朋友圈骂了一句“耍人玩”，第二天又删了。

更值得琢磨的是漏洞背后的逻辑。国自然评审流程里，学科处会根据通讯评审意见排序，然后分组讨论。那个被泄露的“专家名单”字段，恰好对应每个项目的第二分组——也就是决定生死的那组人。如果这个数据在评审前泄露，后果不堪设想。但2022年它偏偏在评审结束后才暴露，所以基金委的沉默也说得通——结果都定了，查无实据，难道要推翻重来？

有个细节很多人没注意。漏洞被修复的时间点，恰好在当年放榜前48小时。修复方式也很粗暴——直接删掉了接口返回数据里的那个字段，而不是加密或鉴权。这就像你发现家门锁坏了，不换锁，反而把门把手拆了。要是有人当时保存了完整的接口文档，现在依然能通过其他参数组合反推出类似信息。

说到底，这事暴露的不是技术短板，而是科研管理系统里“信任大于验证”的老毛病。评审专家名单、分组讨论记录、资助建议状态——这些本该分权限管理的敏感数据，全堆在同一个后端服务里，前端只做了显示层面的隐藏。但凡有个稍微懂点网络抓包的申请人，都能捅破这层窗户纸。

如今2024年了，那个漏洞的截图还在某些QQ群里流传。每次放榜前，总有人拿它当“内部消息”的敲门砖。但真正经历过2022年的人都知道，那个字段根本代表不了最终结果。它就像个半真半假的预言，信了的人要么空欢喜，要么白紧张。倒是基金委后来把项目状态查询改成了动态令牌验证，每次登录生成一次性链接——算是从那个漏洞里学了点乖。