2019年2月19日凌晨，阿里漏洞一个ID叫“二位美男子”的阿里漏洞网友在阿里安全应急响应中心提交了一个漏洞。他没想到，阿里漏洞这个漏洞后来会被阿里官方定性为“极其恶劣”，阿里漏洞更没想到自己会被送进监狱。阿里漏洞

漏洞出在阿里旗下某款APP的阿里漏洞“生日修改”功能上。按规则，阿里漏洞用户每年只能改一次生日，阿里漏洞但这位老兄发现，阿里漏洞只要把手机系统时间往后调一年，阿里漏洞再配合抓包工具修改请求参数，阿里漏洞就能绕过服务器校验，阿里漏洞无限次修改生日。阿里漏洞听起来像小学生恶作剧，阿里漏洞对吧？阿里漏洞但问题在于，这个APP的生日字段直接关联着支付宝的实名认证体系。

他改了三次生日，每次改成不同年份。第三次修改后，他尝试用新生日去申请支付宝的“大学生认证”——系统居然通过了。这意味着什么？一个30岁的人，可以瞬间变成22岁在校生，享受各种学生专属优惠、免息借贷额度。更可怕的是，如果他把生日改成60岁，就能申请“老年版”的某些保险产品，保费低得离谱。

阿里安全团队接到报告后，第一反应不是修复，而是报警。为什么？因为他们在日志里发现，这个漏洞已经被利用过不止一次。早在一个月前，就有三个不同IP地址尝试过同样的操作，但都没成功——他们卡在了“修改次数限制”那一关。而“二位美男子”是唯一一个彻底绕过去的。

警方调查后揭开了真相：这个ID背后是个22岁的程序员，姓李，刚从某二本院校计算机系毕业，在杭州一家小公司写前端代码。他提交漏洞的动机很单纯——想赚点外快，因为阿里SRC平台对高危漏洞的奖金是3万起步。但他忽略了一个细节：他修改生日时使用的测试账号，绑定的是他自己真实的身份证号。

这案子最讽刺的地方在于，阿里安全团队最初把他的漏洞评为“中危”，因为“仅影响用户自身数据”。但法务部门介入后，定性立刻升级为“涉嫌破坏计算机信息系统罪”。2019年5月，李某被杭州警方刑拘。庭审时，法官问了一个关键问题：“你修改生日后，有没有尝试用新身份去申请贷款？”李某回答：“没有，我只想证明漏洞存在。”

但检方出示的证据显示，他在测试过程中，确实用修改后的生日成功申请了一笔5000元的“校园白条”，虽然第二天就还上了。就这一笔操作，让他从“白帽黑客”变成了“黑产嫌疑人”。

最后判了八个月，缓刑一年。阿里在事后发布的公告里没提具体细节，只说“感谢安全研究者的贡献，但必须遵守法律底线”。这话没毛病，但漏洞本身呢？那个生日字段和实名认证的关联逻辑，至今没改——只是加了个“人工审核”按钮。

我后来跟一个阿里P8的安全工程师聊起这事，他私下说：“那个漏洞其实挺low的，但暴露了一个设计缺陷——我们把太多信任放在客户端时间戳上。修起来不难，难的是怎么让产品经理明白，生日不是随便改着玩的。”

这案子过去四年了。那位李某现在还在写代码，但再也没碰过安全测试。他的微博停在2019年2月19日，最后一条是：“提交了个漏洞，感觉今年运气不错。”底下第一条评论是：“兄弟，你运气确实不错——没判实刑。”