京东漏洞0元买手机

凌晨两点十七分，我盯着订单页面上的漏洞“实付：0.00元”，手指悬在鼠标左键上方，元买没敢点下去。手机购物车里那台标价4999的京东iPhone 16 Pro，运费栏写着“免运费”，漏洞优惠明细里有一行小字：“满减券-4999元”。元买这张券，手机我没领过。京东

事情要从半小时前说起。漏洞我在一个技术群里看到有人发截图，元买说京东有个价格漏洞，手机部分手机在特定条件下能触发零元购。京东截图里订单金额确实是漏洞零，底下跟了一串“已上车”“手慢无”。元买群里平时聊的是Python和爬虫，突然冒出来这种消息，第一反应是钓鱼。但截图里的订单编号、时间戳、商品SKU都对得上，不像P的。

我打开京东App，搜了同款手机，正常价格4999。点进商品页，往下拉，在“优惠”那一栏里，有一张“满4999减4999”的券，显示“已领取”。我根本没领过。试着点结算，券自动勾选了，总价变成0。整个过程不到十秒。没有弹窗，没有异常提示，页面流畅得像平时买瓶水。

我没点提交订单。不是不想，是怕。零元买手机，听起来像天上掉馅饼，但京东的法务部不是吃素的。之前有过案例，有人利用漏洞薅了十几台空调，最后被以“不当得利”起诉，东西退回不说，还赔了诉讼费。更早的时候，有个大学生用漏洞买了六千块的零食，京东直接报警，虽然最后没判刑，但档案里留了记录。

我把截图发到一个做电商风控的朋友那儿。他回得很快：“别碰。这种订单京东后台能查到，发货前会人工审核。就算发了，快递到了也能拦截。你付0元，它不亏运费，但你耗的是自己的信用。”他补了一句，“去年有个类似的漏洞，有人下了两百多单，最后账号被封，连正常购物都受影响。”

群里有人已经下单了。一个哥们儿晒出订单截图，三台手机，实付0元，状态显示“待发货”。底下有人起哄让他赶紧转手，一台加五百挂闲鱼。他没回。过了大概二十分钟，他发了张新截图，订单状态变成了“已取消”，取消原因写着“系统异常”。没人再说话。

我关掉京东，打开浏览器，搜了一下“京东漏洞 0元买手机”。出来的结果大多是去年甚至前年的帖子，套路差不多：先有人发现漏洞，截图传播，一群人跟风下单，然后订单被批量取消，少数“幸运儿”收到货，但后续要么被追回，要么账号被标记。有个帖子下面有条评论，说得挺实在：“你以为薅的是羊毛，其实人家在筛用户。”

凌晨三点，那个券还在我账户里。我没用，也没删。第二天早上再看，券已经消失了，商品页恢复了原价。群里有人问“还有车吗”，没人理。那个晒订单的哥们儿把昵称改成了“已老实”。

这事让我想起早些年做安全测试的时候，导师说过一句话：漏洞是客观存在的，但利用漏洞和发现漏洞是两码事。发现漏洞，你可以提交给平台，拿个致谢或者奖金。利用漏洞，你就从观察者变成了参与者，性质完全变了。京东这个0元购漏洞，技术上可能只是一个参数没校验，但背后牵扯的是法律、信用、账号安全，一堆你下单时根本想不到的东西。

后来我跟那个风控朋友吃饭，聊起这事。他说京东对这种漏洞的处理流程很成熟：先监控异常订单，再人工复核，最后批量取消。真正能“薅”到的，要么是极少数在漏洞修复前就发货的，要么是平台为了公关故意放水的。前者概率极低，后者你根本不知道。他喝了口啤酒，补了一句：“你以为你在薅京东，其实京东在薅你的注意力。你截图发群，就是在帮它做免费传播。”

那台4999的手机，我最后还是买了。正常价格，用了张50块的券。下单的时候，页面流畅，没有漏洞，没有惊喜。但心里踏实。