去年十一月，漏洞一个叫"星尘安全"的提交ID在乌云网提交了一份关于某国产路由器固件的远程命令执行漏洞。三小时后，网站厂商确认。漏洞五天后，提交固件更新推送。网站整个过程没有媒体发布会，漏洞没有CVE编号的提交漫长等待，只有论坛帖子里一句"已修复，网站感谢提交"。漏洞这就是提交漏洞提交网站最真实的工作节奏——它不制造新闻，它只是网站让问题被看见。

这类网站的漏洞核心逻辑很简单：给白帽子一个地方放"炸弹"，给厂商一个机会拆"炸弹"。提交但实际操作起来，网站远比这句话复杂。我翻过补天平台的公开列表，有一个细节让我印象深刻。某次某电商平台的订单查询接口存在越权漏洞，提交者附上了三张截图：正常请求、篡改参数后的响应、以及一个用Python写的验证脚本。脚本只有十二行，但每行都标了注释。厂商安全响应中心在下面回复："已定位，修复中，请提供收款账号。"这种对话感，在传统漏洞披露流程里几乎不可能出现。

不是所有提交都这么顺利。有个做智能家居的朋友告诉我，他曾向某厂商提交网关设备的硬编码密钥漏洞。第一次，客服回复"已转交技术部门"。两周后没动静。他第二次提交，附上了更详细的利用链。这次厂商回了一句："该问题属于已知设计，不视为漏洞。"朋友直接把漏洞详情发到了某漏洞平台的公开板块。四十八小时内，厂商主动联系，承诺下个版本修复。漏洞提交网站在这里扮演的角色，不是裁判，而是压力容器——它让沉默的成本变高。

各平台的规则差异也很有意思。HackerOne要求提交者必须遵守厂商设定的范围，超出范围的漏洞可能被标记为"信息性"。补天和漏洞盒子则更灵活，允许提交未公开的资产漏洞，但会做脱敏处理。这种差异直接影响了白帽子的选择。一个专挖车企漏洞的 researcher 跟我说，他只在补天提交，因为"有些车机漏洞涉及车主隐私，HackerOne的流程太慢，等厂商确认的时候数据可能已经泄露了"。

漏洞提交网站还有一个容易被忽略的功能：它记录了修复的时间线。我统计过某平台2023年公开的五十个高危漏洞，从提交到修复，最快的是四小时——一个在线文档平台的SQL注入。最慢的是某个工业控制系统的认证绕过，拖了九个月。这个时间差本身就是有价值的信息。安全团队可以用它来评估供应商的响应能力，研究人员可以用它来判断某个厂商是否值得继续挖。

当然，问题也不少。有些厂商把漏洞提交网站当成公关工具，只处理"好看"的漏洞，比如XSS，因为修复快、影响小。遇到逻辑漏洞或者架构缺陷，就装死。有个白帽子在推特上吐槽，他提交了一个支付系统的并发漏洞，厂商回复"需要更多证据"，他补了视频，厂商又说"需要复现环境"，来回折腾一个月，最后漏洞被第三方平台确认，厂商才不情愿地修了。这种博弈，每天都在发生。

写到这里，我想起一个漏洞平台创始人说过的话："我们不是警察，也不是法官，我们只是邮局。"邮局不保证每封信都被认真阅读，但它至少让寄信这件事变得有迹可循。漏洞提交网站的价值，或许就在于它把原本藏在暗处的攻防，变成了一条可以追溯的链条。链条上每一环——提交者、厂商、平台——都有自己的算盘，但至少，算盘珠子是摆在桌面上的。