通过网址的漏洞查找东西算犯法吗

去年秋天，通过我认识的网址一个安全研究员在测试某家电商平台时，通过修改URL中的漏洞查商品ID参数，直接看到了后台的找东订单数据。他截图发在群里炫耀，西算第二天就收到了平台的犯法律师函。这事情有意思的通过地方在于——他既没有盗取数据，也没有破坏系统，网址只是漏洞查把网址里的数字改了一下。

法律上对“通过网址漏洞查找东西”的找东定性，核心不在于你“看到了什么”，西算而在于你“怎么看到的犯法”以及“看完之后做了什么”。举个极端例子，通过你在公共图书馆翻到一本没锁的网址日记，翻开看了几页，漏洞查这不犯法。但如果你撬开图书馆的储物柜，即便里面只有一本日记，那性质就变了。网址漏洞也一样，关键区别在于你是否“未经授权”且“绕过技术措施”。

《刑法》第285条非法获取计算机信息系统数据罪，明确把“侵入”作为构成要件。什么叫侵入？就是你用了超出正常访问权限的手段。直接改URL参数算不算侵入？司法实践中有争议。2018年杭州某法院判过一个案子，被告通过修改URL中的用户ID遍历他人订单信息，最终以非法获取公民个人信息罪定罪。法院的逻辑是：虽然他没破解密码，但系统设计缺陷不等于授权访问，利用缺陷批量获取他人数据，就是“非法获取”。

但换个场景，你只是随手点开一个不存在的链接，看到404页面里暴露了服务器版本号，这基本没事。因为这种信息属于“公开可见”的范畴，没有突破任何访问控制。我见过最离谱的案例是有人通过URL中的debug参数开启调试模式，看到数据库连接字符串，然后顺着这个字符串连上了生产库。这已经不是“查找东西”了，这是主动攻击。

实际操作中还有个灰色地带——漏洞赏金计划。很多大厂明确允许安全研究者测试他们的网址，只要在指定范围内、不造成破坏、不下载超量数据，就不算违法。但如果你没在授权范围内，哪怕只是“顺手”测试了一下，一旦被发现，轻则封IP，重则报警。去年某社交平台有个漏洞，任何人通过URL就能查看私密照片，有个普通用户发现后没报告，而是自己反复查看，最后被以“非法获取计算机信息系统数据罪”起诉，判了八个月。

说到底，法律看的是“意图”和“后果”。你因为好奇改一下URL，看到不属于自己的信息，如果只是截图留存，没传播没牟利，大概率不会坐牢，但民事责任跑不掉。可如果你批量遍历、下载、甚至拿去卖，那就直接踩进刑事红线。我认识的那位研究员最后赔了五万块和解，平台没追究刑责，算是幸运。

网址漏洞就像一扇没锁好的门。你推开门探头看一眼，和走进去翻箱倒柜，性质完全不同。别拿“技术无罪”当挡箭牌，法官不看你懂不懂代码，只看你做了什么。你要是真对安全研究感兴趣，去注册个合法的漏洞报告平台，在规则内玩，才是正路。