第 11 章：程序员和技术人容易踩的红线

{
  "id": "11-1",
  "sec": 11,
  "n": 1,
  "title": "动手前先问三句：损害了谁的利益、对方多有能力追究、我留了多少证据；被追究后马上找刑事律师",
  "cost": "0 元；把「技术上能不能做」换成「厂商、平台、公司会不会报案」来想，服务器日志、支付记录、群聊记录默认都会被调取",
  "human": "动手之前先想的不是「技术上能不能做」，而是「厂商、平台、公司会不会报案」——服务器日志、支付记录、群聊记录默认都会被调取。真被刑事拘留了，最长 37 天内决定捕不捕；从第一次讯问起就可以委托律师，律师提出会见，看守所最迟 48 小时内安排。这 37 天是找刑事律师最管用的窗口，等起诉后再找就晚了。",
  "gain": "任何单位和个人发现犯罪事实都有权报案，办案机关认为有犯罪事实就应当立案；被刑事拘留后公安 3 日内提请批捕（向检察院申请正式逮捕）、特殊情况可延长 1 到 4 日、流窜作案（跨地方连续作案）等可延长至 30 日，检察院再用 7 日决定，也就是最长 37 天内决定捕不捕；从第一次讯问或被采取强制措施（被拘留、逮捕这一类）起就可以委托律师，案子还在公安手里查的阶段只能委托律师，律师要求会见看守所最迟 48 小时内安排；可能判管制、拘役这类比坐牢轻的刑罚，或者只判附加刑、不判主刑等情形可以取保候审（交保证金或者找保证人，先回家等着办案），取保最长 12 个月（全国）",
  "grade": "C",
  "src": "全国人大 (2018). 刑事诉讼法（2018 年修正，第三十四、三十九、六十七、七十九、九十一、一百一十、一百一十二条）. <https://www.spp.gov.cn/zdgz/201810/t20181027_396818.shtml>",
  "note": "37 天是从被拘留到检察院决定批不批准逮捕的上限，不是关押的上限——批捕之后还有侦查期间的羁押期限接着算。「懂行的律师」最管用的就是这 37 天：见到人、向检察院递「不该批捕」的意见、申请取保候审，等到起诉后再找就晚了；本节其余条目讲的都是「对方有没有报案的理由」。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-2",
  "sec": 11,
  "n": 2,
  "title": "不做、不卖游戏外挂和辅助，包括「只读屏幕不碰内存」的 AI 辅助",
  "cost": "0 元；放弃这类接单和「小工具」收入",
  "human": "卖给 20 人次或者挣到 5000 元就够「情节严重」，判 3 年以下，特别严重 3 到 7 年，量很小。有人做读写游戏内存实现透视、自瞄的外挂，3 个月卖了 8 万多、自己挣 3 万多，判 1 年缓 1 年罚 5000 元；拿到服务端程序改参数开私服、收了 2000 多万充值的，判 4 年到 2 年 6 个月，罚金最高 1000 万元。",
  "gain": "提供专门用于侵入、非法控制计算机信息系统的程序、工具，情节严重的判 3 年以下并处或单处罚金（判刑的同时罚钱，或者只罚钱），情节特别严重 3 到 7 年并处罚金，情节严重的门槛是提供工具 20 人次以上或违法所得（靠这件事挣到的钱）5000 元以上；故意绕开或破坏权利人设的技术保护措施还可构成侵犯著作权罪，判 3 年以下、严重 3 到 10 年；官方案例：王某等制售读取修改游戏内存实现透视、自瞄的外挂，3 个月卖 8 万余元、获利 3 万余元，判 1 年缓 1 年（判 1 年但先不关，一年缓刑期内不再犯事就不用去坐牢）罚 5000 元；项某等卖「TZ」系列外挂销售额 20 余万元，项某判 3 年缓 3 年罚 2 万元；刘某某等拿到游戏服务端程序改参数开私服，收充值 2000 余万元，判 4 年到 2 年 6 个月、罚 1000 万到 130 万元（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第三款、第二百一十七条第六项）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第三条）. <https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html>（深圳市公安局转载）；最高人民检察院 (2026). 上海静安：严惩制售游戏外挂黑灰产共护清朗网络空间. <https://www.spp.gov.cn/spp/zdgz/202608/t20260825_735480.shtml>；最高人民检察院 (2021). 2020 年度检察机关保护知识产权典型案例（案例五）. <https://www.spp.gov.cn/spp/xwfbh/wsfbt/202104/t20210425_516525.shtml>",
  "note": "已公布的外挂判例都是读写内存、绕过反作弊的；「只截屏、只模拟按键」的辅助还没见过官方判例，但第 3 条抢票案说明不碰内存、只发请求也能定非法获取数据罪。最后算不算犯罪、按哪个罪算，由办案机关根据厂商报案时提交的材料定，不是作者说了算。卖 20 人次就够「情节严重」，量很小。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-3",
  "sec": 11,
  "n": 3,
  "title": "不写、不卖抢票、秒杀、刷单、薅羊毛脚本，哪怕只是「自动化点按钮」",
  "cost": "0 元",
  "human": "脚本不改内存、不破解，只是发请求比人快，一样按非法获取计算机信息系统数据定罪，门槛是挣到 5000 元或给对方造成 1 万元损失。有人批量导入外购的 12306 账号多线程抢票，代抢 200 多张、挣 2 万多，判 1 年 6 个月缓 1 年 6 个月罚 5000 元；在网店卖抢票软件的另被判不正当竞争赔 2 万元。",
  "gain": "侵入计算机信息系统或用其他技术手段获取其中数据，情节严重的判 3 年以下并处或单处罚金，特别严重 3 到 7 年，情节严重的门槛是违法所得 5000 元以上或造成损失 1 万元以上；官方案例：某人用外挂批量导入外购 12306 账号、多线程密集提交购票请求代抢火车票 200 余张、获利 2 万余元，以非法获取计算机信息系统数据罪判 1 年 6 个月缓 1 年 6 个月罚 5000 元；郑某在网店卖针对某售票 App 的抢票软件，被判构成不正当竞争赔 2 万元（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第二款）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. <https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html>；最高人民检察院 (2026). 上海静安：查办利用外挂软件批量代抢火车票牟利案. <https://www.spp.gov.cn/spp/dfjcdt/202607/t20260707_731426.shtml>；最高人民法院 (2025). 2024 年人民法院知识产权典型案例（案例七，抢票软件不正当竞争案）. <https://enipc.court.gov.cn/zh-cn/news/view-4205.html>",
  "note": "抢票案里的脚本不改内存、不破解，只是「比人快」，仍然按刑法 285 条定罪；收钱代抢和卖脚本都算牟利，自己用一次的情形没有官方案例。",
  "money": "0",
  "time": "少",
  "will": "否",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-4",
  "sec": 11,
  "n": 4,
  "title": "爬虫只爬无需登录的公开页面，不绕反爬、不碰个人信息，爬到的数据不卖",
  "cost": "0 元；看 robots 和接口授权，需要登录、token、破解签名才能拿的数据不爬",
  "human": "要登录、要 token、要破解签名才拿得到的数据属于绕过防护，判 3 年以下、严重的 3 到 7 年。爬到个人信息更麻烦：行踪、通信、征信、财产类 50 条，住宿、健康、交易类 500 条，其他类 5000 条，或挣到 5000 元，就算情节严重。有开发者把偷相册的功能伪装成「颜值检测」软件，拿到 1751 张人脸照片倒卖，判 3 年缓 3 年。",
  "gain": "绕过防护获取系统数据同第 3 条（抢票秒杀刷单脚本）判 3 年以下或 3 到 7 年；非法获取、出售或提供公民个人信息，行踪轨迹、通信内容、征信、财产信息 50 条以上，住宿、通信记录、健康、交易信息 500 条以上，其他个人信息 5000 条以上，或违法所得 5000 元以上即「情节严重」，判 3 年以下并处或单处罚金，特别严重 3 到 7 年；官方案例：软件开发人员李某把窃取手机相册的功能伪装成「颜值检测」软件、拿到人脸照片 1751 张并倒卖社工库（汇总泄露个人信息的数据库）资料，判 3 年缓 3 年；某网络科技公司用爬虫拿外卖平台店铺、订单数据造成损失 4 万余元，被以非法获取计算机信息系统数据罪追诉（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第二款、第二百五十三条之一）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民法院、最高人民检察院 (2017). 关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释（第三、四、五条）. <https://www.spp.gov.cn/xwfbh/wsfbt/201705/t20170509_190088.shtml>；最高人民检察院 (2022). 检察机关依法惩治侵犯公民个人信息犯罪典型案例（案例二）. <https://www.spp.gov.cn/spp/xwfbh/wsfbt/202212/t20221207_594915.shtml>；最高人民检察院 (2025). 检察机关依法惩治侵害企业数据安全犯罪 服务保障企业创新发展（案例一）. <https://www.spp.gov.cn/xwfbh/wsfbh/202501/t20250124_680670.shtml>",
  "note": "2017 年那份司法解释把「未经本人同意，把合法收集来的信息给别人」也算「提供」，公司里把用户表导给外部合作方同样落在这句里；5000 条也就是一张小表的量。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-5",
  "sec": 11,
  "n": 5,
  "title": "不接赌博、诈骗、色情 App 的开发单，不替「客户」搭支付通道、解封账号",
  "cost": "0 元；放弃这类报价高、需求含糊的外包",
  "human": "这类报价高、需求含糊的单子，代价是按赌博团伙的共犯算，跟着开设赌场罪走（5 年以下，情节严重 5 到 10 年），不是「只是帮了个忙、最多判 3 年」那一档。做赌博游戏「包网外销」的集团涉案近 70 亿元，负责外包研发的 79 人判了 6 个月到 9 年 9 个月；电竞竞猜 App 案里在海南写代码的 28 人以开设赌场罪判 3 年 6 个月到 1 年；替诈骗团伙解封 QQ 号的判 1 年 6 个月罚 2 万元。",
  "gain": "明知他人利用网络犯罪仍提供技术支持、支付结算等帮助，情节严重的判 3 年以下并处或单处罚金，同时还构成其他犯罪的按更重的那个罪判；开设赌场判 5 年以下并处罚金，情节严重 5 到 10 年；官方案例：张盛集团研发赌博游戏后「包网外销」收建站费、报表费，涉案近 70 亿元，张盛判 9 年 9 个月罚 5000 万元，负责外包研发的王强等 79 人判 6 个月到 9 年 9 个月不等；陈东等人开发运营电竞竞猜 App，技术团队在海南写代码，28 人以开设赌场罪判 3 年 6 个月到 1 年不等并处罚金；张某某开工作室替诈骗团伙解封被封的 QQ 号，判 1 年 6 个月罚 2 万元（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十七条之二、第三百零三条第二款）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民检察院 (2023). 建赌博网站并出售，涉案近 70 亿元. <https://www.spp.gov.cn/spp/zdgz/202307/t20230711_621248.shtml>；最高人民检察院 (2022). 上海闵行区：办理一起新型开设网络赌场案. <https://www.spp.gov.cn/spp/zdgz/202208/t20220805_569952.shtml>；最高人民检察院 (2025). 依法惩治帮助信息网络犯罪活动及相关犯罪典型案例（案例一）. <https://www.spp.gov.cn/xwfbh/wsfbt/202507/t20250728_702377.shtml>",
  "note": "「明知」不需要对方把用途说出口，报价明显高于市价、功能是充值提现加赔率、客户不肯说用途，办案时都会拿来推断你心里清楚；开发赌博 App 的技术人员是按开设赌场罪的共犯办，不是帮信罪封顶 3 年那一档。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-6",
  "sec": 11,
  "n": 6,
  "title": "离职时交清账号权限，不删库、不留后门、不改密码锁系统，哪怕公司欠你钱",
  "cost": "0 元；工资纠纷走劳动仲裁（见第 7 节）",
  "human": "账号密码是公司给的，不等于离职后还能用，登进去就算非法控制，判 3 年以下；删数据让系统跑不起来的判 5 年以下，后果特别严重 5 年以上。有个被辞退的高级工程师用原管理员账号登录公司服务器改密码、删数据和日志，损失 12 万多元，判 3 年缓 5 年罚 3 万元。",
  "gain": "非法控制计算机信息系统，情节严重的判 3 年以下并处或单处罚金，特别严重 3 到 7 年；删除、修改系统功能或数据造成不能正常运行、后果严重的判 5 年以下，特别严重 5 年以上；官方案例：IT 高级工程师吕某某被辞退后用原管理员账号登录公司共享服务器改密码、删数据和日志，损失 12 万余元，判 3 年缓 5 年罚 3 万元；软件公司员工白某某写升级程序时故意加错误代码致客户系统无法登录，损失 4 万余元，以破坏计算机信息系统罪追诉（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第二款、第二百八十六条）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民检察院 (2024). 检察机关「依法惩治网络犯罪 助力网络空间综合治理」典型案例（案例六）. <https://www.spp.gov.cn/xwfbh/wsfbh/202402/t20240223_644505.shtml>；最高人民检察院 (2025). 检察机关依法惩治侵害企业数据安全犯罪 服务保障企业创新发展（案例七）. <https://www.spp.gov.cn/xwfbh/wsfbh/202501/t20250124_680670.shtml>",
  "note": "账号密码是公司给的不等于离职后还能用，用原账号登录就算「非法控制」；损失按数据恢复费用算，几万元就够立案。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-7",
  "sec": 11,
  "n": 7,
  "title": "离职不带走源码、客户名单和技术文档，不上传个人网盘，不在下家复用",
  "cost": "0 元；离职前把个人电脑和网盘里的公司资料删干净",
  "human": "自己写的代码著作权也归公司，带走就是拿公司的东西，客户名单同样算商业秘密。有离职员工带着安检系统源码和核心算法去新公司，本人判 5 年罚 50 万元、新公司罚 400 万元；有人利用系统漏洞下载 3.3 万多个设计文件，判 1 年 10 个月罚 10 万元。刑事之外，公司还可以另行提民事索赔。",
  "gain": "违反保密义务披露、使用商业秘密，情节严重的判 3 年以下并处或单处罚金，特别严重 3 到 10 年并处罚金；反不正当竞争法把「电子侵入」（用技术手段侵入系统）拿商业秘密，以及教唆、帮助别人违反保密义务，都列为侵权；官方案例：孙某明等离职员工带走安检系统源码和核心算法用于新公司产品，孙某明判 5 年罚 50 万元，新公司罚 400 万元；田某某利用系统漏洞下载 3.3 万余个设计文件，判 1 年 10 个月罚 10 万元；工程师杨某某把 App 模块源码存进个人电脑和云端、跳槽后做同类 App，以侵犯商业秘密罪追诉（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百一十九条）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；全国人大常委会 (2025). 反不正当竞争法（2025 年修订，第十条）. <https://www.spp.gov.cn/spp/fl/202506/t20250627_699862.shtml>；最高人民检察院 (2025). 检察机关知识产权保护典型案例（案例七）. <https://www.spp.gov.cn/xwfbh/wsfbh/202504/t20250423_693691.shtml>；最高人民检察院 (2020). 2019 年度检察机关保护知识产权典型案例（案例十六）. <https://www.spp.gov.cn/xwfbh/wsfbh/202004/t20200425_459623.shtml>；最高人民检察院 (2025). 检察机关依法惩治侵害企业数据安全犯罪 服务保障企业创新发展（案例五）. <https://www.spp.gov.cn/xwfbh/wsfbh/202501/t20250124_680670.shtml>",
  "note": "「自己写的代码」著作权也归公司（见第 13 条），带走就是拿公司的东西；客户名单属于经营信息，同样是商业秘密。刑事之外公司还会另起民事索赔。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-8",
  "sec": 11,
  "n": 8,
  "title": "不在别人的电脑、服务器、摄像头上跑自己的程序，公司机器不拿来挖矿",
  "cost": "0 元",
  "human": "未经允许控制别人的电脑、服务器、摄像头，到 20 台就算情节严重，判 3 年以下，特别严重 3 到 7 年；够不上犯罪的也要拘留 5 日以下，还可能罚 5 万到 50 万元，情节较重拘留 5 到 15 日并罚 10 万到 100 万元。对技术人更重的是附带后果：受过治安处罚的 5 年内、受过刑事处罚的终身不能干网络安全管理和网络运营关键岗位。",
  "gain": "对计算机信息系统实施非法控制，情节严重的判 3 年以下并处或单处罚金，特别严重 3 到 7 年，非法控制 20 台以上即「情节严重」；尚不构成犯罪的，公安没收违法所得、拘留 5 日以下并可罚 5 万到 50 万元，情节较重拘留 5 到 15 日并可罚 10 万到 100 万元，受过治安处罚 5 年内、受过刑事处罚终身不得从事网络安全管理和网络运营关键岗位；官方案例：李某买网络摄像头 IP 用软件控制 105 台摄像头窥探隐私，判 3 年缓 5 年罚 2 万元；吴某等把木马植入手机主板控制 330 余万部手机回传验证码，判 2 年到 4 年 6 个月（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第二款）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. <https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html>；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十九、六十六条；2016 年文本为第二十七、六十三条，终身禁业为修正后的第六十六条第三款）. <https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm>；最高人民检察院 (2022). 山东滨州开发区：办理一起非法控制计算机信息系统案. <https://www.spp.gov.cn/spp/dfjcdt/202205/t20220518_557113.shtml>；最高人民检察院 (2021). 充分发挥检察职能 推进网络空间治理典型案例（案例六）. <https://www.spp.gov.cn/spp/xwfbh/wsfbh/202101/t20210125_507452.shtml>",
  "note": "用公司服务器挖矿没有找到最高检、最高法公布的案例，这条是按「没经过允许就控制别人的系统」那条法条写的；「终身不得从事关键岗位」是网络安全法在罚款、判刑之外附带的一道后果，对技术人比罚款重。",
  "money": "0",
  "time": "少",
  "will": "否",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-9",
  "sec": 11,
  "n": 9,
  "title": "没有书面授权不测别人的系统，「出于好意」和「事后上报」都不是出罪理由",
  "cost": "0 元；放弃「顺手试一下」，参加厂商 SRC（安全应急响应中心）或众测前先拿到授权范围、目标清单和可以测的时间段；验证到漏洞存在就停手",
  "human": "定不定罪看有没有授权、拿了多少，不看你想干什么。非金融类的账号密码这类身份认证信息拿到 500 组，或者违法所得 5000 元、给对方造成 1 万元损失，就够「情节严重」判 3 年以下，五倍以上是 3 到 7 年——为了证明一个注入漏洞顺手导一张用户表，往往一次就过了 500 这条线。有授权也不等于可以随便翻：最高检的指导性案例认定，超出授权范围用账号密码登录，这个行为本身就算侵入。够不上犯罪的也要拘留 5 日以下并可能罚 5 万到 50 万元，情节较重拘留 5 到 15 日并罚 10 万到 100 万元；受过治安处罚的 5 年内、受过刑事处罚的终身不能干网络安全管理和网络运营关键岗位（同第 8 条，不在别人的机器上跑自己的程序）。",
  "gain": "侵入国家事务、国防建设、尖端科学技术领域以外的（也就是普通公司、个人的）计算机信息系统，或者采用其他技术手段，获取其中存储、处理、传输的数据，情节严重的判 3 年以下有期徒刑或拘役并处或单处罚金，特别严重的 3 到 7 年并处罚金；「情节严重」的标准是获取支付结算、证券交易、期货交易等网络金融服务的身份认证信息（账号密码这类）10 组以上，获取其他身份认证信息 500 组以上，非法控制计算机信息系统 20 台以上，违法所得 5000 元以上或造成经济损失 1 万元以上，「情节特别严重」是上面这些数字的 5 倍以上；官方案例：检例第 36 号确立「超出授权范围使用账号、密码登录计算机信息系统，属于侵入计算机信息系统的行为」，也就是手里本来就有账号密码，但用在授权范围以外，这个行为本身就算侵入，该案三人用工作中掌握的账号、密码和令牌异地登录公司内部系统、下载非工作范围的数据在网上出售，违法所得 37000 元，分别判 4 年、3 年 9 个月、4 年，各罚 4 万元（全国）",
  "grade": "A",
  "src": "全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. <https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html>（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. <https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml>",
  "note": "检例第 36 号那个指导性案例本身是卖数据牟利的案子，引它只是为了「超出授权范围登录也算侵入」这一句，不是说善意测试会判得一样重。你想干什么、事后有没有上报，都不能把罪名抵消掉，只可能影响判多重、起不起诉；厂商先道谢、回头再报案并不矛盾，道谢不等于授权。本节写作时未在最高法、最高检官网找到可逐字核对的善意测试类案例，所以只按法条和处罚标准写。要做就走厂商公开的 SRC 或有书面委托的测评，把范围、目标和时间窗口写进文件；证明漏洞存在用最少的证据，不批量取数据。发现漏洞之后怎么处理见第 10 条（漏洞按规定报送）。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-10",
  "sec": 11,
  "n": 10,
  "title": "漏洞按规定报送，修补前不公开细节、不发利用工具、不交给境外",
  "cost": "0 元；报给产品提供者或官方平台，忍住不在修补前发细节和验证代码",
  "human": "《网络产品安全漏洞管理规定》管的就是「从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人」，个人也在里面。发布有五条硬线，核心是厂商给出修补措施之前不发漏洞信息、不发在用系统的漏洞细节、不发专门用来利用漏洞的程序和工具、发的时候要同步给出怎么修。还有一条容易被忽略：没公开的漏洞不能提供给产品提供者之外的境外组织和个人——往境外赏金平台提国内系统的洞正落在这条上。违规收集、发布由工信部和公安部依职责处理，够得上网络安全法那一档的，责令改正、警告并可罚 1 万到 10 万元，拒不改正或情节严重罚 10 万到 100 万元，还可能被停业整顿、关站、吊销执照，直接负责的人另罚 1 万到 10 万元。",
  "gain": "规定适用于境内网络产品提供者、网络运营者以及从事漏洞发现、收集、发布等活动的组织或者个人；任何组织或者个人不得利用漏洞从事危害网络安全的活动，不得非法收集、出售、发布漏洞信息；向社会发布漏洞信息应当遵守五项：不得在产品提供者提供修补措施之前发布，不得发布网络运营者在用的网络、信息系统及其设备存在漏洞的细节情况，不得刻意夸大危害和风险、不得利用漏洞信息实施恶意炒作或者诈骗，不得发布或者提供专门用于利用漏洞从事危害网络安全活动的程序和工具，发布时应当同步发布修补或者防范措施；不得将未公开的漏洞信息向产品提供者之外的境外组织或者个人提供；鼓励向工业和信息化部网络安全威胁和漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送；违反规定收集、发布漏洞信息的由工业和信息化部、公安部依据各自职责依法处理，构成网络安全法规定情形的依该法处罚——向社会发布系统漏洞等网络安全信息应当遵守国家有关规定，违反的由有关主管部门责令改正、给予警告，可以处 1 万元以上 10 万元以下罚款，拒不改正或者情节严重的处 10 万元以上 100 万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站或者应用程序、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处 1 万元以上 10 万元以下罚款（全国）",
  "grade": "A",
  "src": "工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. <https://www.gov.cn/gongbao/content/2021/content_5641351.htm>；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. <https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm>",
  "note": "规定把个人明确写进了管的对象里，「我只是个业余爱好者」不在例外里。这条讲的是拿到漏洞之后怎么处置，先有没有资格去测见第 9 条（没有书面授权不测别人的系统）——两件事分开：合法发现的漏洞也可能因为发布方式违规被罚，未经授权测出来的漏洞则是两头都占。报送渠道里工信部平台和国家互联网应急中心（CNCERT）用得最多。规定没有专门区分「已经通知厂商、厂商却不修」这种情况，实际做法是把协商和报告的过程留下记录，同时报给官方平台。",
  "money": "0",
  "time": "少",
  "will": "否",
  "level": "中",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-11",
  "sec": 11,
  "n": 11,
  "title": "不卖翻墙工具、VPN 账号，不替人搭这类节点",
  "cost": "0 元",
  "human": "自己建或者用国家公用信道以外的国际信道，公安可以责令停止联网、警告，并罚 1.5 万元以下、没收违法所得；靠这个做生意的，办案机关可以按非法经营罪办，情节严重判 5 年以下并罚违法所得的 1 到 5 倍，特别严重 5 年以上。这条讲的是卖和搭节点，个人自己用的处罚以警告加罚款为上限。各地处理差异大，官网上没找到公布的判例。",
  "gain": "直接进行国际联网必须使用国家公用电信网提供的国际出入口信道，任何单位和个人不得自行建立或使用其他信道，也就是不能自己搭线路出境、也不能用别人搭的，违反的由公安责令停止联网、警告、可并处 1.5 万元以下罚款、没收违法所得；靠这个做生意的，办案机关可按非法经营罪处理，情节严重判 5 年以下并处或单处违法所得 1 到 5 倍罚金，特别严重 5 年以上（全国）",
  "grade": "B",
  "src": "国务院 (1997). 计算机信息网络国际联网管理暂行规定（第六、十四条）. <https://nyncw.cq.gov.cn/wsdw/zz/zhfb/wlyxxaq/202406/t20240619_13306645.html>（重庆市农业农村委员会转载）；全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百二十五条第四项）. <https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html>",
  "note": "本节写作时未在最高法、最高检官网找到公布的翻墙类判例，各地处理差异也大，所以定 B 级；这条只讲「卖和搭」，个人自己用的，处罚最重也就是暂行规定第十四条写的警告加罚款。",
  "money": "0",
  "time": "少",
  "will": "否",
  "level": "大",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-12",
  "sec": 11,
  "n": 12,
  "title": "签了竞业协议，离职后公司不按月给补偿就书面催告，满 3 个月没给可以解除；没接触过商业秘密的岗位可请求确认条款不生效",
  "cost": "0 元；离职时留好协议原件和公司未付款的证据",
  "human": "这条是保护自己的。竞业限制最长 2 年，公司必须按月给补偿；没约定数额的按你离职前 12 个月平均工资的 30% 算，且不低于当地最低工资。公司自己的原因 3 个月没给，可以请求解除。2025 年起，岗位上没接触过商业秘密的可以请求确认条款不生效——有家医药公司告首席技术官索赔 710 万元违约金，法院认定竞业范围只能限于他实际知道的秘密，全部驳回。",
  "gain": "竞业限制只能约束高管、高级技术人员和其他负有保密义务的人，期限最长 2 年，公司必须在期限内按月给经济补偿；没约定补偿数额的按离职前 12 个月平均工资的 30% 且不低于当地最低工资；因为公司自己的原因 3 个月没付，劳动者可以请求解除这份竞业限制；公司主动解除要额外付 3 个月补偿；2025 年起，岗位上没知道、没接触过商业秘密的劳动者可以请求确认条款不生效，约定范围超出他实际知道的那部分秘密的，超出部分无效；官方案例：某医药公司起诉首席技术官郑某索赔违约金 710 万元，法院认定其新东家产品与原公司不具替代性、竞业范围应限于实际知悉的秘密，全部驳回（全国）",
  "grade": "A",
  "src": "全国人大常委会 (2012). 劳动合同法（2012 年修正，第二十三、二十四条）. <https://yjglj.fushun.gov.cn/008/20260622/d846d3c2-df3d-4c4c-af16-898ede43e1ee.html>（抚顺市应急管理局转载）；最高人民法院 (2020). 关于审理劳动争议案件适用法律问题的解释（一）（第三十六至四十条）. <https://www.court.gov.cn/zixun/xiangqing/282121.html>；最高人民法院 (2025). 关于审理劳动争议案件适用法律问题的解释（二）（法释〔2025〕12 号，第十三至十五条）. <https://www.court.gov.cn/zixun/xiangqing/472691.html>；最高人民法院 (2025). 劳动争议典型案例（案例四）. <https://www.court.gov.cn/zixun/xiangqing/472681.html>",
  "note": "这条是保护自己的。反过来，协议有效、公司也按月付了钱，还去竞品就要按约定掏违约金，掏完还可能被要求把剩下的竞业期守完；在职期间约定的竞业，公司不另给钱也算数。",
  "money": "0",
  "time": "少",
  "will": "否",
  "level": "中",
  "lens": "金钱",
  "todo": false
}

{
  "id": "11-13",
  "sec": 11,
  "n": 13,
  "title": "上班时间、用公司资源写的代码归公司，自己的开源项目用自己的时间和设备做，不混公司代码",
  "cost": "0 元；入职时看清劳动合同里的知识产权条款",
  "human": "软件被法律明确列在「著作权归单位」那一档：主要用了公司的设备、内网或业务数据又由公司担责，或者合同这么约定，代码著作权就是公司的，你只保留署名权；用公司资源做出的发明，专利也归公司。「下班写的」如果用了公司电脑或公司业务数据，同样可能被认定为主要利用了单位的物质技术条件。",
  "gain": "为完成单位工作任务创作的作品是职务作品（上班干活做出来的东西），一般情形著作权归作者、单位有权在业务范围内优先使用，且 2 年内作者不得许可第三人以相同方式使用；但主要利用单位物质技术条件（公司的设备、内网、业务数据这些）创作、并由单位承担责任的工程设计、软件等作品，或者合同约定归单位的，作者只保留署名权；执行本单位任务或主要利用本单位物质技术条件完成的发明创造是职务发明，申请专利的权利和拿到的专利权都归单位（全国）",
  "grade": "A",
  "src": "全国人大常委会 (2020). 著作权法（2020 年修正，第十八条）. <http://www.npc.gov.cn/npc/c2/c30834/202011/t20201119_308796.html>；全国人大常委会 (2020). 专利法（2020 年修正，第六条）. <http://www.npc.gov.cn/npc/c2/c30834/202011/t20201119_308800.html>",
  "note": "软件被直接写进「著作权归单位」那一类，程序员几乎落不进「著作权归作者、单位两年内优先使用」那一档；「下班写的」只要用了公司电脑、内网或公司业务数据，一样可能被算成主要是靠单位的设备和资料做出来的。想把个人项目做干净，就用自己的机器、不碰公司仓库、不和公司业务重叠。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "中",
  "lens": "金钱",
  "todo": false
}

{
  "id": "11-14",
  "sec": 11,
  "n": 14,
  "title": "用 GPL 等开源代码做产品，按许可证要求开源或换许可证，不当「没人管」",
  "cost": "0 元；引入依赖时看一眼许可证，GPL 系与闭源商用冲突就换",
  "human": "侵犯著作权按权利人的实际损失或你的违法所得赔，算不清就参照许可费，故意且情节严重的能判到 1 到 5 倍。有个案子里被告招了原告的前员工开发网关软件，代码实质相似，被告抗辩说原告的软件本来基于 GPLv2、本就该开源，最高法认定这是两个独立问题，照样判停止侵害、赔 50 万元。",
  "gain": "侵犯著作权按权利人的实际损失或者侵权人挣到的钱赔，这两样都算不清的，参照正常买这份授权要付多少钱来定，故意侵权且情节严重的可判 1 到 5 倍赔偿，损害公共利益的还可没收违法所得并处罚款；官方案例：（2021）最高法知民终 51 号，被告招聘原告前员工开发的网关软件与原告软件实质相似，被告以原告软件基于 GPLv2、本就该开源为由抗辩，最高法认定「开发者自身是否违反 GPLv2 协议和是否享有软件著作权是两个独立问题」，判停止侵害、赔偿 50 万元（全国）",
  "grade": "B",
  "src": "全国人大常委会 (2020). 著作权法（2020 年修正，第五十三、五十四条）. <http://www.npc.gov.cn/npc/c2/c30834/202011/t20201119_308796.html>；最高人民法院知识产权法庭 (2022). 涉「开源软件」著作权侵权案（（2021）最高法知民终 51 号）. <https://ipc.court.gov.cn/zh-cn/news/view-3042.html>",
  "note": "这个案子说明「对方用了 GPL 代码」不是你抄它的挡箭牌；反过来，GPL 作者起诉不开源的商用方在国内已有生效判决，本节未在最高法官网找到原文，所以不引。定 B 级是因为守不守开源许可证，只能靠合同和著作权法里的通用规定管，没有一条专门法条。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "中",
  "lens": "金钱",
  "todo": false
}

{
  "id": "11-15",
  "sec": 11,
  "n": 15,
  "title": "做 App 只收业务必需的个人信息，14 岁以下要监护人同意，隐私政策写清楚",
  "cost": "0 元；上线前把权限列表和隐私政策对一遍，能不要的权限不要",
  "human": "只收业务真正必需的信息，不满 14 岁的要拿到监护人同意。违规先责令改正、警告、没收违法所得，App 可能被责令暂停或终止服务，拒不改正罚 100 万元以下，直接负责的人罚 1 万到 10 万元；情节严重的罚 5000 万元以下或上一年营业额的 5%，责任人罚 10 万到 100 万元。法条里的「直接责任人员」可能包括具体经办的技术和产品人员。",
  "gain": "处理个人信息应当有明确合理目的、与目的直接相关、取对个人权益影响最小的方式，处理需取得个人同意或符合法定情形，不满 14 周岁的须取得父母或监护人同意；违反的由监管部门责令改正、警告、没收违法所得，对违法的 App 责令暂停或终止服务，拒不改正的罚 100 万元以下，对直接负责的主管人员和其他直接责任人员罚 1 万到 10 万元；情节严重的罚 5000 万元以下或上一年度营业额 5% 以下，责任人员罚 10 万到 100 万元并可被禁止一定期限内担任相关企业董事、监事、高管；出售或提供个人信息构成犯罪的见第 4 条（全国）",
  "grade": "B",
  "src": "全国人大常委会 (2021). 个人信息保护法（第六、十三、三十一、六十六条）. <http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html>",
  "note": "「直接责任人员」在实务里常落到写代码和做产品的人头上；工信部定期通报下架违规 App，本节没核实到具体是哪一期通报，所以不引。",
  "money": "0",
  "time": "少",
  "will": "些",
  "level": "中",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-16",
  "sec": 11,
  "n": 16,
  "title": "网站、App 上线前先做 ICP 备案，按等级保护要求留 6 个月以上日志",
  "cost": "备案免费，走云厂商流程约几周；等级保护测评（等保）按级别收费，小站一般不需要测评",
  "human": "备案不要钱，走云厂商流程大概几周；境内服务器不备案，域名根本解析不了。不备案的先责令改正，拒不改正就责令关站；主页不标备案号罚 5000 元到 5 万元；备案成非经营性却实际收费的按未经许可经营办，没收违法所得并罚 10 万到 100 万元。日志要留满 6 个月，不留的责令改正、警告，拒不改正或造成后果罚 1 万到 10 万元。",
  "gain": "经营性互联网信息服务实行许可、非经营性实行备案，未取得许可或未备案不得从事；未备案的由电信管理机构责令改正，拒不改正的责令关闭网站，未经许可经营的没收违法所得并罚违法所得 3 到 5 倍或 10 万到 100 万元；网站主页不标备案号罚 5000 元到 5 万元；网络运营者须按等级保护制度（等保）制定安全管理制度、防范攻击、留存网络日志不少于 6 个月、对数据分类备份加密，不履行的责令改正、警告，拒不改正或造成后果的罚 1 万到 10 万元、主管人员罚 5000 元到 5 万元（全国）",
  "grade": "A",
  "src": "国务院 (2011). 互联网信息服务管理办法（2011 年修订，第四、十九、二十二条）. <https://www.gov.cn/gongbao/content/2011/content_1860864.htm>；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十三、六十一条；2016 年文本为第二十一、五十九条）. <https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm>",
  "note": "境内服务器不备案域名根本解析不了，真正踩坑的是「备案成个人非经营性、实际在收费」和「换了域名或主体没变更备案」。日志留 6 个月既是义务也是自保，出事时能证明不是你干的。",
  "money": "少",
  "time": "中",
  "will": "否",
  "level": "中",
  "lens": "自由",
  "todo": false
}

{
  "id": "11-17",
  "sec": 11,
  "n": 17,
  "title": "对公众提供生成式 AI 服务前先按规定做安全评估和算法备案，生成内容加标识",
  "cost": "0 元；走网信部门流程，个人小工具不对公众开放则不触发",
  "human": "面向公众提供有舆论属性或社会动员能力的生成式 AI 服务，上线前要按国家规定做安全评估、办算法备案，改了或停了还要办变更、注销，生成的图片视频要加标识。自己用、不对公众开放的小工具不触发这一套。这个办法本身没写罚则，违反了按网络安全法、数据安全法、个人信息保护法处理。",
  "gain": "提供具有舆论属性或社会动员能力（能影响公众看法，或者能把人组织动员起来）的生成式人工智能服务，应当按国家规定开展安全评估，并按算法推荐管理规定办算法备案，以及后续的变更、注销手续；提供者应当对图片、视频等生成内容进行标识；办法自 2023 年 8 月 15 日施行（全国）",
  "grade": "B",
  "src": "国家互联网信息办公室等七部门 (2023). 生成式人工智能服务管理暂行办法（第十二、十七条）. <https://www.gov.cn/zhengce/zhengceku/202307/content_6891752.htm>",
  "note": "这个办法自己没写罚多少，违反了要回到网络安全法、数据安全法、个人信息保护法里找处罚，所以定 B 级；用 AI 生成的内容侵犯别人著作权、肖像的民事案例，本节未在最高法官网核实原文，不引。",
  "money": "0",
  "time": "中",
  "will": "否",
  "level": "中",
  "lens": "自由",
  "todo": false
}