赏金项目的规则就是边界
漏洞赏金与众测项目的合法性完全建立在平台规则之上：范围资产、禁止事项、报告格式与披露时间线都由厂商在规则里写明。规则既是参与资格，也是授权文件——越线不是「更努力」，而是失去资格甚至构成违法。参与前逐条读规则，比多测一个接口重要得多。
基本信息
| 授权来源 | 厂商在平台公开的项目规则 |
|---|---|
| 范围 | 精确到域名或应用，通常不含第三方组件 |
| 禁止事项 | 拒绝服务、社工、物理测试、访问隐私数据 |
| 流程 | 平台提交，厂商确认，修复后按约定披露或奖励 |
| 资格风险 | 越线轻则封号，重则承担法律责任 |
典型使用场景
- 参与新上线项目的首个周期，范围通常较宽
- 针对指定模块开展复测，核对修复是否彻底
- 验证已公开披露问题的残留影响
- 为企业内部众测提供提交规范与去重口径
- 判断某类问题是否属于范围外的第三方组件
参与纪律
参与纪律
# 只测规则中明确列出的资产
# 验证最小化：证明存在即停止，不做横向与提权
# 不触碰真实用户数据，不用泄露凭据登录
# 按模板提交：可复现步骤、请求响应、影响说明
# 遵守披露时间线，未修复前不公开细节规则要素读法
| 要素 | 含义 | 常见踩坑 |
|---|---|---|
| 范围资产 | 允许测试的域名与应用清单 | 只测子域却顺手测主站 |
| 排除项 | 明确不参与评分的资产或问题类型 | 未读排除条款测了禁止项 |
| 测试限制 | 限速、时段与禁止的手法 | 自动化扫描导致服务异常 |
| 披露规则 | 公开时间与内容要求 | 提前公开细节导致奖励取消 |
重复提交是常见扣分项：提交前先检索平台已有报告与公开披露记录，避免重复劳动。
范围外的资产即便存在明显问题也不能测：赏金项目的授权范围严格等于规则文本。