2022年8月19日早上六点，国自果查我蹲在电脑前刷国自然系统，然结页面卡了整整四十分钟。询漏群里有人说用手机流量能进，国自果查我切了4G，然结果然刷出了结果——没中。询漏但真正让我愣住的国自果查，是然结旁边另一个链接：把项目编号里的“122”改成“123”，居然能直接看到会评专家的询漏打分意见。那会儿还没到官方公布的国自果查九点。

这不是然结什么黑客技术。就是询漏一个URL参数没做权限校验。比如你查自己的国自果查面上项目，链接末尾是然结“&id=5227xxxx”，把id换成别人的询漏，页面照常渲染。更离谱的是，有些学部的接口连token都不验，直接返回JSON，里面带着“建议资助”“不建议资助”的原始评语。我试了三个不同学部的编号，两个能看，一个报403。说明不是统一漏洞，是各学部自己搭的系统，水平参差。

当天上午十点左右，小木虫上有人发帖说“可以查评委意见了”，但很快被删。微博上几个科研博主截图转发，配文“国自然又出幺蛾子”。我印象最深的是一个985的青椒，他发现自己本子被一个评委写了“创新性不足，建议不予资助”，但另一个评委写了“强烈建议优先资助”。他之前一直以为是上会没通过，现在才知道是某个评委的C档直接毙了。他在朋友圈骂了一句“早说啊，我第二年就不改本子了，白折腾”。

漏洞持续了大概六个小时。下午三点左右，系统开始返回“无权访问”，但已经晚了。至少几万个项目编号被爬过，有些好事者写了个脚本，把整个学部当年所有申请项目的意见全导出来，打包发在网盘里。我下载了一份，大概200M，里面按学科分类，每个项目一个txt。翻了几页，看到一些很直白的评语：“本子写得太差，学生水平不行”“实验设计像本科生作业”“建议申请人先补补统计学”。这些话平时根本不会让申请人看到，现在全晾在太阳底下。

基金委当天晚上发了个简短声明，说“系统出现短暂访问异常，已修复，不影响评审结果”。没提漏洞，没提数据泄露，也没说会不会追责。但我知道，有些单位第二天就开了内部会，要求职工不得传播相关截图。我一个在高校科研处的朋友说，他们领导原话是“别往外说，丢人”。

这事最讽刺的地方在于：国自然一直以“程序公正”自居，会评专家名单保密，评审意见只反馈“资助”或“不资助”，不告诉你具体差在哪。结果一个参数没改，全暴露了。那些“建议不予资助”的理由，有的确实中肯，有的纯粹是评委个人偏好——比如有个评委给所有做某个热门方向的都打了C，理由写的是“该方向已过热，不宜再支持”。这种话，以前你永远不知道。

后来我查了2023年的系统，那个id参数加了签名校验，改一个数字就报错。但2022年泄露的数据，至今还在某些网盘里挂着。有次开会碰到一个中过面上项目的老师，他说自己那年查到了意见，发现一个评委写“申请人前期基础薄弱”，但他明明有5篇一区。他第二年换了口子申请，中了。他说：“要不是那个漏洞，我可能还在死磕原来的方向。”

漏洞本身是个技术问题，但暴露的是科研评价里那层窗户纸——你以为的公平，有时候只是没人去点那个链接。