```html

利用爬虫爬取个人信息

有人用五十行 Python 代码，利用从某招聘网站爬下了三万条简历数据。爬虫爬姓名、个人电话、信息邮箱、利用住址，爬虫爬甚至身份证号的个人前六位——全在里头。这不是信息电影桥段，是利用 2021 年真实发生的一起案件。当事人后来被判了侵犯公民个人信息罪，爬虫爬缓刑一年，个人罚金两万。信息他跟我说，利用当时只觉得“技术好玩”，爬虫爬没想那么多。个人

爬虫本身不违法。违法的是你爬什么、爬多少、拿去干什么。公开的企业工商信息，随便爬；但个人手机号、身份证、家庭住址，只要没获得本人授权，爬一条都算踩线。《刑法》第二百五十三条之一写得清楚：非法获取、出售或提供公民个人信息，情节严重的，处三年以下有期徒刑或拘役。什么叫“情节严重”？司法解释给了量化标准——行踪轨迹信息、通信内容、征信信息、财产信息，五十条以上；住宿信息、通信记录、健康生理信息，五百条以上；其他个人信息，五千条以上。五千条，一个中型电商的用户表就超了。

我见过一个做数据清洗的团队，他们从某二手交易平台爬卖家信息。卖家在商品描述里留了微信号，他们就写正则表达式批量提取。微信ID、手机号、QQ号，一晚上跑出八千多条。后来他们把这些数据卖给做微商的，一条五毛。八千条，四千块。判了三年。法官在判决书里写了一句：“技术中立，但行为不中立。”这话我记到现在。

技术上怎么实现的？拿最常见的 requests + BeautifulSoup 来说，三步走。第一步，构造请求头，伪装成浏览器。User-Agent 里填个 Chrome 的标识，不然网站直接返回 403。第二步，解析页面。用 CSS 选择器定位到包含个人信息的标签，比如 class="resume-contact" 这种。第三步，存库。MySQL 或者 MongoDB，看数据量。如果网站有反爬，还得加代理 IP 池、验证码识别、请求频率控制。一套下来，没个两三天搞不定。但 GitHub 上现成的模板一搜一大把，改改就能用。门槛低得吓人。

有个细节很多人忽略：你爬的时候，网站服务器是有日志的。IP、时间、请求路径、User-Agent，全记着。警察调日志，一抓一个准。我认识一个安全圈的朋友，他说某次协助调查，嫌疑人用了三层代理，最后还是被定位到——因为他在自家宽带下调试代码时忘了关代理，露了真实 IP。技术再花哨，也架不住一个低级失误。

法律上还有个灰色地带：爬取“已公开”的个人信息。比如你在微博上发了一条带手机号的动态，别人爬下来算不算违法？2021 年《个人信息保护法》实施后，答案变了。公开信息不等于可以随意收集。只要你的爬取行为没有取得个人同意，且用于非个人或家庭事务，就可能构成违法。换句话说，你爬微博数据做学术研究，可能没事；你爬下来卖钱或者做营销，就悬了。

我自己的观察是，很多搞爬虫的人压根没看过法条。他们觉得“网上能看到的就能爬”。这种认知偏差，跟早年“网上的东西随便下载”一个逻辑。但法律不跟你讲技术直觉。去年有个案子，被告爬了某政府网站公开的补贴名单，里面有姓名和身份证号。他辩解说“这是政府主动公开的”，法院没采纳。判决书里写：“公开不等于授权。”六个字，值三万罚金。

那怎么判断自己爬的东西安不安全？给个土办法：把你要爬的字段列出来，挨个问自己——这个信息，如果被陌生人拿到，我会不会不舒服？姓名加电话，会；公司名称加注册号，不会。不舒服的，就别碰。另外，爬之前看一眼网站的 robots.txt。虽然那玩意儿没有法律强制力，但至少能看出网站的态度。人家写了 Disallow: /user/，你还硬爬，那就是故意。

最后说个真事。有个做爬虫培训的哥们，课程里教人爬某婚恋网站的用户资料。学员爬了之后拿去推销保险，被举报了。警察顺着网线找到他，他说“我只是教技术，没让他们干坏事”。警察回了一句：“你教的是爬个人信息，不是爬天气。”后来他退了所有学费，还被约谈。技术可以教，但教什么、怎么教，边界得自己心里有数。

爬虫是把好刀。切菜还是砍人，看握刀的手。