2021年12月，自身责任主体Log4j2爆出远程代码执行漏洞，产品全球数百万台服务器连夜打补丁。和系Apache基金会发了公告，统漏但真正被骂上热搜的自身责任主体是那些用了Log4j却没及时更新的公司。奇怪吧？产品写代码的人没挨骂，用代码的和系人背了锅。

这事往深了想，统漏其实指向一个被长期模糊的自身责任主体问题：一个产品出了漏洞，到底谁该负责？产品

写代码的人：责任的起点，但不是和系终点

开源社区的开发者们有个默认共识——我免费给你用，出了事别找我。统漏这话听着刺耳，自身责任主体但逻辑上站得住。产品Log4j的和系维护者大多是志愿者，有人白天上班晚上修bug，连工资都没有。你让一个不拿钱的人承担企业级安全责任，怎么都说不过去。

可商业软件公司就不一样了。微软、Oracle、苹果，它们卖License、卖订阅、卖生态，产品漏洞导致的损失是实打实的。2020年SolarWinds被供应链攻击，波及美国多个政府部门，CEO直接下课。商业公司跑不掉，因为盈利模式本身就包含了“质量担保”的隐性契约。

用产品的人：你选了它，就得管它

我认识一个做运维的朋友，他们公司内部有一套十年前自研的CMS系统，代码写得稀烂，SQL注入一抓一大把。每次安全扫描出报告，领导就问一句：“能修吗？”修不了，因为当初写代码的人早离职了。最后怎么办？加WAF、限制内网访问、定期打补丁，硬扛。

这就是现实。你选择了某个技术栈，享受了它带来的便利，就得承担它带来的风险。企业用开源软件省了授权费，那省下来的钱就该投到安全团队和应急响应上。不能既想白嫖，又想让别人兜底。

平台和生态：隐形的手，甩不掉的锅

苹果App Store审核严格，但上架的App出了数据泄露，苹果要不要担责？2023年有款下载量过亿的健身App被曝泄露用户位置数据，苹果的回应是“已下架”。下架就完了？用户数据已经流出去了。

平台方掌握分发渠道、制定审核规则、抽取分成，权力越大，责任越重。Google Play、微信小程序、npm仓库，这些生态的运营者不能只当收费站。你收了过路费，路上有坑就得负责填，至少得立个警示牌。

法律在追，但追得气喘吁吁

欧盟的《网络弹性法案》去年开始要求软件厂商对产品安全负责，违者最高罚全球营收的2.5%。美国SEC也盯上了上市公司——如果漏洞导致重大损失且你隐瞒不报，那就是证券欺诈。中国《网络安全法》规定了网络运营者的安全义务，但具体到“漏洞责任怎么分”，条文还是粗线条。

法律能划底线，但划不清所有边界。一个漏洞从被发现到被利用，中间有太多环节：代码作者、集成商、部署者、运维人员、最终用户。每个环节都觉得自己冤。

我的判断：谁有能力控制风险，谁就是责任主体

这不是和稀泥。控制能力包括：你能不能发现漏洞、能不能及时修复、能不能在修复前降低风险。开源作者没能力24小时响应，那企业就得自己建安全团队。商业公司有能力却偷懒，那就该重罚。平台有能力审核却放水，那就该连带赔偿。

Log4j事件最后怎么收场的？Apache发了补丁，但真正解决问题的是那些连夜升级、写临时规则、加监控告警的公司。他们没空骂街，因为业务停摆的损失比骂人严重得多。

漏洞责任不是一道单选题。它更像一条链子，每个环节都得绷紧。谁松了，谁就承担松了的后果。别指望别人替你兜底，也别把锅全甩给写代码的人。你用了，你就有份。