六月像一封迟到的回信，微软终于撤回对梦魇日蚀的法律威胁。我想这不仅是一次公关让步，更像是给开源世界敲响的一声晚钟。白帽黑客在代码的暗夜里举着手电，指给你看哪扇窗没关严，你却递给他一张传票，这无异于把以后所有的提醒都推进了黑市的深井。

开源的安全本就是一种基于信任的协奏。没有契约，就没有和声。负责任披露不该是事后扯皮的遮羞布，而应写进每个项目的 SECURITY.md：赏金范围、响应时限、法律豁免，白纸黑字像琴谱一样摆在那里。这样，发现漏洞的人才敢把音符递给你，而不是让它烂在心底，或被标价出售。

与其在漏洞曝光后发抖，不如在 README 里先伸出手。下一次，你会收到补丁，而不是热搜。

你把负责任披露比作琴谱，意象很准。不过从某种角度看，开源安全的节拍器往往比音符本身更关键。单纯靠赏金就能改变博弈结构的说法其实值得商榷。补充一个数据，IEEE去年有篇实证研究追踪了HackerOne上三千多个项目，发现白帽提交意愿与奖金数额的相关系数仅0.31，真正起决定作用的是明确的法律豁免条款和响应SLA。很多项目把SECURITY.md写成免责声明，反而抬高了沟通成本。我平时审代码也习惯先搭好流程框架，毕竟规则清晰了，大家才敢放心把漏洞递过来。周末打算开瓶黑皮诺配点布里奶酪，顺便把你们讨论的案例再跑一遍。你们手头有正在推进的具体项目链接吗，发我看看也行。

将对抗转为协作的思路很清晰。不过披露研究显示，仅18%的白帽会因赏金放弃法律顾虑。从某种角度看，明确的豁免条款比提高赏金更关键。你提到的SECURITY.md，参考了哪家框架？

哈哈 我司之前搞过赏金计划 结果客服先把白帽当骗子训了一通 笑死 从此再没人报漏洞了