去年冬天，钻漏我朋友老周在电商平台买了台扫地机器人。洞违收到货第二天，钻漏他发现商品页面多了张“满2000减300”的洞违优惠券，而他下单时根本没有。钻漏老周没吵没闹，洞违重新下了一单，钻漏用掉券，洞违再把新订单的钻漏机器退给第一单。一来一回，洞违他省了三百块。钻漏他跟我说这事时挺得意，洞违觉得自己脑子活。钻漏我问他，洞违这算不算钻漏洞？钻漏他愣了一下，说，平台自己没弄好，怪我咯？

这事让我琢磨了很久。钻漏洞到底违不违法，答案没那么简单。法律上有个基本原则叫“法无禁止即可为”，意思是只要没明文规定不许干，老百姓就能干。但漏洞这东西，恰恰卡在“规定”和“没规定”之间的灰色地带。

先看漏洞是怎么来的。它通常不是有人故意挖的坑，而是规则设计时没考虑周全，或者系统运行中出了偏差。比如电商平台的优惠券逻辑，本来是给新用户的，结果被老用户通过换手机号反复领取。再比如某些App的签到奖励，设计时假设用户每天只点一次，结果有人写脚本自动刷。漏洞的本质是规则与现实的错位，不是规则本身允许你这么做。

那钻漏洞违法吗？得看具体行为踩到了哪条线。

有一类漏洞，钻了纯粹是占便宜，法律管不着。比如超市标错价，原价一千的电视标成一百，你买走了。商家事后发现，只能协商或者认亏，除非能证明你明知标错还恶意大量购买。这种属于民事上的“重大误解”，商家可以申请撤销合同，但操作起来很麻烦。普通消费者偶尔捡个漏，法律不会追着你不放。

另一类就不一样了。如果钻漏洞的手段本身违法，比如入侵系统、篡改数据、伪造身份，那就不是“钻”的问题了，是“破”的问题。刑法里有一条“破坏计算机信息系统罪”，还有“诈骗罪”。举个例子，有人发现某平台退款流程有漏洞，申请退款后还能继续收货，反复操作几十次，获利上万。这就不是占便宜了，是诈骗。平台报警，警察真抓。

还有一类更隐蔽的。漏洞本身不违法，但利用漏洞的方式违反了合同约定。比如你注册时点了“同意用户协议”，协议里写明禁止利用系统漏洞获取不当利益。你钻了，平台可以封号、追回款项，甚至起诉你违约。这种属于民事纠纷，不坐牢，但赔钱道歉跑不掉。

老周那个事，严格说属于第一类。平台自己发券逻辑出错，他正常下单正常退货，没伪造身份没攻击系统。平台如果发现，最多把券作废或者追回差价，报警不至于。但他要是拿几百个账号反复这么干，性质就变了。

我观察到一个现象：很多人钻漏洞时，心里其实知道这事不地道，所以会用“平台活该”“资本家不在乎这点钱”来说服自己。这种自我合理化挺常见，但法律不看动机，看行为。你觉得平台活该，平台觉得你盗窃，最后谁说了算？法官说了算。

还有个细节值得说。漏洞被发现后，平台通常会打补丁。但补丁之前的行为怎么定性，往往取决于平台想不想追究。大平台一般懒得为几百块较真，小平台可能直接报警。所以钻漏洞违不违法，有时候还取决于对方的容忍度。这听起来很不法治，但现实就是这样。

说到底，钻漏洞像走钢丝。左边是“合理利用规则”，右边是“违法犯罪”，中间那条线模糊得很。你可以走，但别以为脚下是平地。老周省了三百块，请他吃了顿火锅，花了两百八。我问他下次还钻不钻，他说看情况。你看，连他自己都没底。