2021年，扫描某高校学生小陈因为对学校教务系统做了一次“安全测试”，网站违法在漏洞报告平台提交了后台弱口令漏洞，漏洞结果被公安机关以非法侵入计算机信息系统罪带走。扫描这事儿当时在圈子里炸了锅——他明明没偷数据、网站违法没改成绩，漏洞只是扫描想“帮忙”找漏洞。

法律条文其实写得挺直白。网站违法《刑法》第285条说的漏洞是“违反国家规定，侵入计算机信息系统”才构成犯罪。扫描关键就在“违反国家规定”这五个字上。网站违法你拿自己的漏洞电脑、自己的扫描服务器练手，那叫技术研究；但未经授权扫别人的网站违法网站，哪怕只是漏洞发个探测请求，性质就变了。最高人民法院的司法解释还专门强调，获取权限、控制设备、传输数据，这三类行为是实打实的红线。

有个容易混淆的地方得掰扯清楚。很多人觉得“扫描”只是看看端口、测测响应，没进系统内部，能有多大事？可司法实践里，批量扫描往往被认定为“技术手段的预备行为”。浙江有个判例，某人用AWVS扫了某政府网站几百个URL，虽然没成功入侵，法院依然判了“非法侵入计算机信息系统罪未遂”。法官的判决书里写得很直白：扫描行为本身已经突破了“未经授权”的边界，就像你挨家挨户拉门把手，门没开不代表没违法。

但反过来，也有合法路子。企业委托的渗透测试、众测平台（比如补天、漏洞盒子）签约的白帽黑客，人家手里有书面授权书，测试范围、时间、操作方式都白纸黑字写清楚。这种扫描不仅不违法，还是受保护的正经职业。区别在哪儿？授权。就像你请锁匠来开自家门，锁匠不犯法；但锁匠顺手把你邻居家的锁也研究一遍，那就等着进去喝茶吧。

我认识一个做安全运维的老哥，他接私活有个铁规矩：先签合同，再动工具。合同里必须写明“本次测试范围为XX系统IP段”，还要附加一条“若发现漏洞，不得验证至获取数据层面”。他说这行当最怕的不是技术不行，是边界感模糊。去年他朋友接了个“帮忙看看网站安不安全”的私活，对方口头说“随便测”，结果朋友用sqlmap跑出个数据库，顺手看了两眼用户表——对方反手报警，说数据泄露。最后折腾了三个月，靠聊天记录才证明是授权测试。

说到底，技术本身没有原罪，但法律管的是行为。你要是觉得某网站有漏洞，正路有两条：要么走官方SRC（安全响应中心）提交，要么通过众测平台接任务。千万别学电影里那种“孤胆黑客”的浪漫想象——现实里，法官不看你的技术多酷，只看你有没有那张授权书。

对了，还有个小细节容易踩坑。就算你拿到了授权，测试过程中顺手把漏洞截图发朋友圈炫耀，这也可能构成“传播破坏性程序”的治安处罚。去年深圳就有个案例，白帽子在授权范围内挖到漏洞，但因为把payload发到了技术群讨论，被罚了5000块。你说冤不冤？其实不冤，法律对“技术行为”和“传播行为”是分开管的。