内容摘要：2023年8月，某安全社区挂出一条漏洞披露：某国产OA系统存在未授权SQL注入，影响超过4万台暴露在公网的实例。帖子发出不到两小时，厂商的应急响应团队就贴出了补丁编号和临时缓解方案。这个速度，放在五年

2023年8月，漏洞某安全社区挂出一条漏洞披露：某国产OA系统存在未授权SQL注入，报告影响超过4万台暴露在公网的平台实例。帖子发出不到两小时，漏洞厂商的报告应急响应团队就贴出了补丁编号和临时缓解方案。这个速度，平台放在五年前不可想象。漏洞那时候，报告白帽子提交一个高危漏洞，平台等上几周甚至几个月是漏洞常态，有些报告干脆石沉大海。报告

漏洞报告平台，平台说白了就是漏洞安全研究人员和厂商之间的“传话人”。但传话这件事，报告做得好与不好，平台差别巨大。

我最早接触这类平台是2016年，当时帮一个朋友往某平台提交某CMS的后台绕过漏洞。流程很原始：填表单，上传截图，等审核。三天后收到回复：“已确认，正在联系厂商。”然后就没有然后了。半年后那个漏洞在野被利用，厂商才匆忙发补丁。平台没有跟进机制，提交者拿不到反馈，厂商也未必及时收到通知。那会儿的平台更像一个漏洞寄存柜，存进去就完了。

现在不一样了。主流平台基本都建立了分级响应机制。以某头部平台为例，严重级别漏洞要求厂商在72小时内确认，7天内给出修复计划。超时未响应，平台会公开披露细节——这一招比什么催促都管用。我认识的一个独立研究员，去年发现某云服务商的API鉴权缺陷，提交后48小时没动静，他直接在平台点了“申请公开”。两小时后厂商安全负责人打来电话，语气急得不行。漏洞当天就修了。

但平台不是万能药。有个问题一直存在：厂商和提交者之间的信息不对称。提交者觉得“这个洞能直取数据库”，厂商评估后认为“需要管理员权限才能触发，实际风险有限”。双方对CVSS评分的理解经常打架。我见过一个案例，某电商平台的订单遍历漏洞，提交者给了9.1分，厂商坚持评6.5，理由是“需要登录且只能看到脱敏手机号”。扯皮两周，最后平台介入仲裁，定了7.8。这种拉锯战消耗的精力，有时候比挖洞本身还大。

另一个观察：国内平台对“漏洞归属”的判定越来越细。以前谁先提交算谁的，现在要看提交时间戳精确到秒，还要比对漏洞描述是否指向同一个代码缺陷。有次我提交一个SSRF，发现另一个白帽子比我早17秒提交了同一处。平台判他优先，我认。但后来厂商修复时只修了我报告里提到的那个参数，另一个入口没管。我又补交了一次，这次算独立发现。规则清晰了，扯皮反而少了。

平台也在变相推动厂商改变态度。早年很多厂商把漏洞报告当找茬，现在不少公司专门设了安全响应中心，甚至给提交者寄感谢礼品。某互联网大厂的安全负责人跟我说过一句话：“以前怕漏洞被公开，现在怕漏洞没被报上来。”这话听着像公关辞令，但看他们的响应数据——2023年平均修复时间从上一年的14天缩到6天——确实在动真格。

当然，问题还有。中小厂商的参与度依然低，很多传统企业的系统漏洞提交后无人认领。平台能做的，也就是挂个“厂商未响应”的标签，然后等。等多久？不知道。有些报告在平台躺了两年，状态还是“待确认”。

漏洞报告平台本质上是个信任中介。提交者信平台会公正处理，厂商信平台不会泄露敏感信息。这个信任一旦破了，整个链条就断了。我见过有人因为平台泄露了提交者信息被厂商施压，也见过厂商因为平台提前公开漏洞而拒绝合作。平衡不好做，但必须做。

写这些不是要唱赞歌或泼冷水。只是觉得，一个能跑通“发现-提交-确认-修复-披露”闭环的平台，比一百个漏洞扫描器都值钱。工具能找出问题，但解决问题靠的是人和流程。漏洞报告平台就是那个把人和流程串起来的东西。它不完美，但没它更糟。