别给脸不要脸

星辰之雪

2026年11月6日 08:37
北京

去阅读

编者荐语：

说了要交到telegram安全应急响应中心

以下文章来源于星宇Sec
，作者星宇Sec

星宇Sec
.

随缘更新，什么都发

事情很简单，奖金兑换入口找不到，小程序又提示找不到人员，我去问流程。中间隔了几天，也晾过我，最后等来的是“等着”“不知道”“别催了行吗”“那就等着”。

我寻思我问的也不是什么见不得人的事吧，我说话语气态度也很正常吧。入口在哪，下一步干什么，现在卡在哪一步，这些本来就是平台该说清楚的东西吧

结果聊到最后，搞得像我在求人办事

注意一下，我喷的不是提现慢。钱晚几天到，我能等，谁也不缺那几百块钱。流程卡住，我也能等，谁都走过流程，最多跟朋友抱怨几句。真有问题，你告诉我等审核、等财务、等开放入口，哪怕直接说现在没排期，都算一句人话。

我受不了的是态度

白帽子交漏洞，平台按规则给奖励，这是事先说好的交易，也是合作。漏洞不是白送的，钱也不是审核员从自己兜里掏出来赏我的。报告不合格，你驳回；定级有问题，你解释；钱没发，你说没发。手里握着审核和发放的权限，不代表你比我高一等。

有些人就是搞不明白，审核权是公司给的工作权限，不是人格特权。你坐在那个位置上，是让你处理流程的，不是让你审白帽子懂不懂规矩、配不配问一句话。

后来还有人替他解释，说他可能上班心情不好

我听完就想问一句，他心情不好关我屁事？

谁上班没点烦心事。你审核几十份报告累，别人挖洞、复现、整理证据、写报告就不累？你被催两句受不了，别人几个月等不到一个明确答复就活该忍着？

心情不好可以不说，可以晚点回，可以下班。就是不能拿它当免死金牌，转头把火撒在一个正常问流程的人身上。

如果连面对提交者、回答基本问题都做不到，那OSRC这个岗位就不适合他。能干就干，不能干就别干，有的是人想干。别占着位置，拿着平台给的权限，转头把火撒在白帽子身上。平台招审核，不是请一尊佛回来供着；白帽子来提交漏洞，也不是来上香许愿的。

还有人说，他可以选择不回你。

对，他可以

他真不回，我最多觉得这人失联，继续等或者找别的渠道。可他偏偏回了。他明明可以选择沉默，最后却选择用最不耐烦的口气回。

这就不是忙，也不是没看见。这是看见了，想好了，然后故意告诉你，你的问题不值一提，你这个人有点烦。

从加上这个账号到聊完，我没骂过他一句，也没说过什么难听话。谁觉得我截半张图装可怜，完整记录我可以放。我不靠删自己的脏话立人设，因为本来就没有。

我最恶心的不是他回得慢，是他明明回了，还要顺手踩你一脚。

也有人说，习惯就好

我挖过不少SRC，加过不少审核，也跟各行各业的师傅打过交道。回复慢的见过，流程卡的见过，规则变来变去的也见过。正常问一句进度，直接甩“别催了行吗”和“那就等着”，我真没见过。

什么叫习惯就好？他被惯成这样，我还得接着惯？

这句话最坏的地方，不是劝人大度，是默认受气的人应该闭嘴。今天让一个人习惯，明天让十个人习惯，最后所有人都不敢问。平台不会觉得自己有问题，只会觉得白帽子终于懂事了。

可很多人不问，不代表认同。只是懒得为了一个进度问题，再去看一张冷脸。

我那天为什么又去问？因为前面问过，他一直不理。后来我看到他几分钟前刚发朋友圈，人明明在线，我才又发消息问情况。

一个几天不回消息的人突然出现在朋友圈，确认他在线之后再问一句，这算什么催？这连骚扰都算不上。

如果问题不该问我，直接告诉我找错渠道。如果现在处理不了，告诉我什么时候能处理。哪怕就说今天下班了，明天回，我也不会这么大火。

结果他来一句“别催了行吗”，再补一句“那就等着”。

这不叫解释流程。这叫摆谱

后来OSRC发的那条动态，更把这种高高在上摆到了台面上

漏了报告ID，说一句“补一下ID”就完了。多简单的事。非要先来一句“我真求求了”，再把提问的人顺手塞进“都这么会让AI写报告”那一堆里。

报告少个ID确实会增加检索麻烦，这我认。可少个ID就是少个ID，它证明不了报告是假的，证明不了漏洞是编的，更证明不了提交的人就是个拿AI灌垃圾的。

平台被AI垃圾报告烦得受不了，我也能理解。但那是平台自己该处理的审核压力。预审、去重、格式校验、分级响应，办法多得是。自己流程扛不住，就把火撒到提问者身上，还摆出一副受害者模样，这算什么本事？

你要ID，别人给你ID。你觉得格式不对，就告诉别人怎么改。你连一句正常要求都懒得说，先公开阴阳一遍，再暗戳戳怀疑别人用AI，这不是审核严格，这是把自己的工作无能包装成对AI的义愤。

更难看的是，私聊里刚说完“别催了行吗”，公开动态又是一副“我真求求了”的口气。两边放在一起看，意思很清楚：漏洞留下，人赶紧走。白帽子不是来协作的，是来给你添麻烦的。

审核本来就是这份工作的一部分。有人问进度，不等于有人骑在你头上。连这点都想不明白，还做什么对外账号？

群里也有人提过OPPO，原话“OPPO啊，漏洞知道了，退下吧”。还有人说自己提交OSRC时碰到过重复判定上的问题。群友的话不能直接当成平台结论，但一个平台能让人这么总结，问题肯定不只是一次回复慢。至少在这些提交者眼里，它不像是在收漏洞，更像是在收贡品

我把自己在11月1号到今天这段时间发过言的网安群都翻了一遍，一共78个，聊天记录全导出了（感谢Muermur项目以及WeChatExporter项目）。这78个群加起来有71539条消息。我先用SRC、审核、漏洞、厂商这些词，再加上重复、忽略、慢、卡、低危、态度去搜，搜出来82条。再把漏洞新闻、招聘、产品推广和跟SRC八竿子打不着的内容挨个去掉，剩下42条明确是在吐槽SRC审核慢、重复、卡、忽略和态度差

这里面不全是在说OPPO，我也没想把别家的事全算到OSRC头上。可同一种气能在这么多群里反复出现，说明这股臭毛病不是一天两天了

我不想把整个OPPO安全团队一棍子打死。OPPO这么大，肯定有认真干活的人。我骂的就是我实际碰上的这个账号，是截图里的这个态度，是OSRC对外露出来的这副样子

但OSRC对外挂的是平台牌子，不是某个人的私人号。需要撑门面的时候拿平台说事，出了事又把锅甩给个人，这不合适。真是个人问题，平台就去管。管不了，或者根本不想管，那就别怪别人把账记在OSRC头上

如果平台觉得这都不算问题，那也简单，说明OSRC根本不觉得白帽子需要被尊重

脸我已经给过了

我没让OSRC多给我一分钱，也没要求越过规则立刻打款。入口没开就说入口没开，财务没发就说财务没发，要补ID就让补ID，审核不过就把理由讲明白。

这要求过分吗？

白帽子交的是漏洞，不是尊严。平台手里的是审核权，不是随便踩人的资格。

审核不是皇位，回消息也不是临幸。别把别人正常问一句话，当成你施舍出来的恩典

我把话说难听点，别给脸不要脸

哦对，我不骂了，别举报了嗷