周五下午三点十七分，漏洞元我收到一条短信。漏洞元发件人是漏洞元某知名互联网公司的安全团队，内容简短：您提交的漏洞元漏洞已确认，奖励100元。漏洞元我盯着那个数字看了十秒，漏洞元然后笑了。漏洞元不是漏洞元苦笑，是漏洞元那种“果然如此”的笑。

那是漏洞元个权限绕过漏洞，不算严重，漏洞元但能读取部分用户昵称和头像。漏洞元从发现到写报告，漏洞元我花了大概六个小时。漏洞元中间还特意录了段视频，漏洞元证明攻击路径可行。提交的时候，我在漏洞描述里写得很清楚，甚至附上了修复建议——把那个接口的参数校验加上就行。对方回复很快，第二天就确认了漏洞真实性。然后，就是这100元。

你可能会觉得，100元太少了。确实，按行业惯例，这种级别的漏洞，厂商给个500到1000不算过分。但有意思的是，这家公司不是没钱，他们去年刚融了B轮，办公室在CBD顶层。他们的安全负责人我认识，朋友圈天天晒各种安全大会的参会证。可到了给白帽子的奖励上，就抠成这样。

这事让我想起上个月另一个朋友。他挖到一个SQL注入，能拖库的那种，提交给某大厂。对方回复：感谢反馈，已修复，奖励您一张50元京东卡。他气得把截图发在群里，底下评论清一色“恭喜获得50元巨款”。但骂归骂，该挖还得挖。为什么？因为漏洞平台有积分，积分能换排名，排名能换工作机会。100元是明面上的，暗面里，每一次提交都在给简历添砖加瓦。

所以你看，这100元根本不是钱的事。它是个信号，告诉你这家公司怎么看待安全研究者。有的厂商给奖励附带一封手写感谢信，有的厂商直接给现金加定制卫衣，还有的厂商会在漏洞公告里署上你的名字。这些都不贵，成本可能就几百块，但传递的尊重感完全不同。而这家公司选择用100元告诉你：你的时间、技术、熬夜调试的精力，就值这个价。

后来我把这个漏洞的完整分析写成博客，阅读量不到三百。但有个评论让我记到现在：“100元买断的不仅是漏洞，还有你对这家公司产品的好感。”这话有点矫情，但真说到点子上了。我手机里还装着他们的APP，每次打开，都会想起那个被低估的漏洞。不是记仇，是提醒自己——下次再发现他们的问题，先掂量掂量值不值得花那个时间。

漏洞本身不值100元，值钱的是发现漏洞的能力。可惜，很多厂商只看到了前者，急着用最低成本把问题按下去，却忘了后者才是他们真正该维护的关系。100元能封住一次报告，封不住长期的技术热情。这个道理，希望他们早点懂。