我坐在咖啡店里，白帽讲邻桌一个女孩正对着笔记本屏幕抹眼泪。白帽讲屏幕上是白帽讲她刚收到的漏洞报告——她的个人网站被脱库了，三万条用户数据正躺在某个暗网论坛上明码标价。白帽讲她不是白帽讲程序员，只是白帽讲开了家独立设计工作室，网站是白帽讲外包做的。外包公司说“绝对安全”，白帽讲她信了。白帽讲

这事每天都在发生。白帽讲我认识的白帽讲一个安全研究员老周，专门干“白帽子”这行——合法地黑进别人系统，白帽讲找出漏洞，白帽讲然后告诉对方。白帽讲他去年帮一家小医院修复了病历系统，白帽讲发现漏洞的方式特别笨：用默认密码admin/admin试了试，居然就进去了。他说那家医院的系统供应商收了几百万开发费，连最基本的登录防护都没做。老周没收钱，医院也没谢他，只是让他签了份保密协议。

很多人以为白帽子是黑客的反面，正义的骑士。实际没那么浪漫。老周接活时经常被当成骗子，对方觉得“你说我系统有漏洞，那你怎么证明不是你黑的？”有次他提交漏洞报告，对方直接报警了。警察来了，他掏出资质证书和授权书，折腾了一下午才解释清楚。那之后他学乖了，先签合同再动手，漏洞报告里连细节都打码，只写“某处存在SQL注入风险”，具体参数得等对方确认身份才给。

这行的灰色地带比外人想的多。有些白帽子私下接“私单”——帮客户黑竞争对手的网站，嘴上说“测试安全性”，实际就是商业间谍。老周说他不碰这种，但圈子小，总有人找上门。他拒绝过几次后，有人开始在网上造谣说他技术不行。他给我看那些帖子，底下评论一半骂他，一半在问“那你能帮我查我老公的聊天记录吗？”他苦笑，把手机扣在桌上。

技术本身没有颜色，但干这行的人天天在给颜色划线。老周有个原则：只接有书面授权的单子，漏洞公开前必须给厂商足够的修复时间，而且绝不碰医疗和金融系统——他说那些地方出问题会死人。有一次他发现某儿童手表的漏洞，可以实时定位孩子位置，厂商拖了三个月不修，他直接上报了监管部门。后来厂商被约谈，私下骂他“多管闲事”。他倒无所谓，说“那手表要是被坏人利用，我晚上睡不着”。

咖啡店的女孩最后删了网站，重新做了一个。她问我：“那我能怎么办？总不能自己学写代码吧。”我说你可以花钱请人做渗透测试，几千块钱的事。她瞪大眼睛：“这么贵？”我指了指她手里那杯四十块的拿铁：“你为了一杯咖啡花四十块不心疼，为三万用户的数据安全花几千块嫌贵？”她没接话，低头刷手机去了。

白帽子这行，赚的是信任的钱，但大部分人连信任是什么价钱都不清楚。老周说他不指望所有人都理解，只要每次漏洞报告发出去，对方能认真看完，他就觉得值。他桌上贴着张便签，写着一句话：“你黑不进去的系统，坏人可能也进不去。但你黑不进去，不代表它真的安全。”

这话有点绕，但我想他说的对——真正的安全，是有人愿意在出事之前，先帮你把门锁撬开看看。