程序员和技术人容易踩的红线
《高性价比人生指南》第 11 章 · 共 19 条 · 法律与安全
本节口径是人身自由与金钱，换回的是「别被关」和「别赔钱」。写代码、做技术的人，常把下面这些事当成「只是技术问题」，可它们对应的是刑法里的具体罪名，或者民事上要赔的具体一笔钱。每条都给出法条里的数字，以及最高人民检察院、最高人民法院官网公布的案例。刑法引用的是北京市公安交管局转载的「根据刑法修正案（十一）修正」整合文本。条目顺序按「技术人最容易以为没事 × 后果最重」从高到低排。第 1 条是通用的一条，讲动手前怎么判断，以及出事之后先做什么。
1动手前先问三句：损害了谁的利益、对方多有能力追究、我留了多少证据；被追究后马上找刑事律师
花费0时间少需毅力些收益大口径自由
- 成本：不花钱。动手前把「技术上能不能做」换成另一个问题：厂商、平台、公司会不会去报案。难在忍住「这点小事没人管」的念头，因为服务器日志、支付记录、群聊记录，办案时默认都会被调出来
- 说人话：动手之前先问一句：厂商、平台、公司会不会去报案。服务器日志、支付记录、群聊记录，办案时都调得出来。真被刑事拘留了，最长 37 天内决定抓不抓你。从第一次问话起你就能请律师，这 37 天是找刑事律师最管用的时候。
- 收益：任何单位和个人发现犯罪事实，都有权去报案。办案机关认为有犯罪事实，就应当立案。被刑事拘留之后，公安要在 3 日内提请批捕（向检察院申请正式逮捕）。特殊情况可以延长 1 到 4 日。流窜作案（跨地方连续作案）这类情形可以延长到 30 日。检察院再用 7 日决定。加起来最长 37 天内决定捕不捕。从第一次讯问起，或者从被采取强制措施（被拘留、逮捕这一类）起，你就可以委托律师。案子还在公安手里查的阶段，只能委托律师。律师要求会见，看守所最迟 48 小时内安排。可能判管制、拘役这类比坐牢轻的刑罚，或者只判附加刑、不判主刑的，可以取保候审：交一笔保证金或者找个保证人，先回家等着办案。取保最长 12 个月（全国）
- 证据等级：C
- 来源：全国人大 (2018). 刑事诉讼法（2018 年修正，第三十四、三十九、六十七、七十九、九十一、一百一十、一百一十二条）. https://www.spp.gov.cn/zdgz/201810/t20181027_396818.shtml
- 备注：这 37 天，算的是从被拘留到检察院决定批不批准逮捕，不是关押的上限。批捕之后还有侦查期间的羁押期限，接着往下算。懂行的律师最管用的也是这 37 天：见到人、向检察院递一份「不该批捕」的意见、申请取保候审。等到起诉之后再找律师就晚了。本节其余条目讲的都是同一件事：对方有没有报案的理由。
2不做、不卖游戏外挂和辅助，包括「只读屏幕不碰内存」的 AI 辅助，也不卖给微信这类软件加功能的改版
花费0时间少需毅力些收益大口径自由
3不写、不卖抢票、秒杀、刷单、薅羊毛脚本，哪怕只是「自动化点按钮」
花费0时间少需毅力否收益大口径自由
4爬虫只爬无需登录的公开页面，不绕反爬、不碰个人信息，爬到的数据不卖
花费0时间少需毅力些收益大口径自由
5不接赌博、诈骗、色情 App 的开发单，不替「客户」搭支付通道、解封账号
花费0时间少需毅力些收益大口径自由
6离职时交清账号权限，不删库、不留后门、不改密码锁系统，哪怕公司欠你钱
花费0时间少需毅力些收益大口径自由
7离职不带走源码、客户名单和技术文档，不上传个人网盘，不在下家复用
花费0时间少需毅力些收益大口径自由
8不在别人的电脑、服务器、摄像头上跑自己的程序，公司机器不拿来挖矿
花费0时间少需毅力否收益大口径自由
9没有书面授权不测别人的系统，「出于好意」和「事后上报」都不是出罪理由
花费0时间少需毅力些收益大口径自由
- 成本：不花钱。参加厂商 SRC 或者众测之前，先拿到写明授权范围、目标清单和可测时间段的文件。SRC 是厂商自己办的安全应急响应中心，专门接收外部报来的漏洞。验证到漏洞确实存在就停手。难在放弃「顺手试一下」这一下
- 说人话：定不定罪看有没有授权、拿到了多少，不看你本意。拿到 500 组普通账号密码，或者挣到 5000 元、让对方损失 1 万元，就够判 3 年以下。为了证明漏洞顺手导一张用户表，常常一次就过了 500 组。手里有账号密码，用在授权范围以外也算侵入。
- 收益：普通公司和个人的系统，属于国家事务、国防建设、尖端科学技术领域以外的计算机信息系统。侵入这类系统，或者采用其他技术手段，拿到里面存储、处理、传输的数据，情节严重的判 3 年以下有期徒刑或者拘役，并处或单处罚金。特别严重的判 3 到 7 年并处罚金。「情节严重」有几条标准：拿到支付结算、证券交易、期货交易等网络金融服务的身份认证信息（账号密码这类）10 组以上；拿到其他身份认证信息 500 组以上；非法控制计算机信息系统 20 台以上；违法所得 5000 元以上，或者造成经济损失 1 万元以上。上面这些数字的 5 倍以上，就是「情节特别严重」。官方案例：检例第 36 号确立了一句话，「超出授权范围使用账号、密码登录计算机信息系统，属于侵入计算机信息系统的行为」。意思是手里本来就有账号密码，但用在授权范围以外，这个行为本身就算侵入。该案三人用工作中掌握的账号、密码和令牌，异地登录公司内部系统，下载了不属于工作范围的数据，拿到网上出售，违法所得 37000 元。三人分别判 4 年、3 年 9 个月、4 年，各罚 4 万元（全国）
- 证据等级：A
- 来源：全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html；最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml；央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）
- 备注：检例第 36 号那个指导性案例，本身是卖数据牟利的案子。引它只是为了「超出授权范围登录也算侵入」这一句，不是说善意测试会判得一样重。你本意想干什么、事后有没有上报，都不能把罪名抵消掉，只可能影响判多重、起不起诉。厂商先道谢、回头再报案，两件事并不矛盾，道谢不等于授权。2016 年，一名白帽子把世纪佳缘网站的漏洞提交到第三方漏洞平台，后来世纪佳缘报了警，他被抓。世纪佳缘对记者说，报警是因为有数据被人拿走，当时不知道拿数据的就是提交漏洞的人。此案只有媒体报道，没有判决，也没有官方通报，最后怎么处理没有官方说法。最高法、最高检官网上也没找到能逐字核对的善意测试类案例，所以本条只按法条和处罚标准定级。要做就走厂商公开的 SRC，或者有书面委托的测评，把范围、目标和时间窗口都写进文件。证明漏洞存在用最少的证据，不批量取数据。够不上犯罪的那一档也要挨治安处罚，还有从业禁止，罚款数额和年限同第 8 条（不在别人的机器上跑自己的程序）。发现漏洞之后怎么处理，见第 10 条（漏洞按规定报送）。
10漏洞按规定报送，修补前不公开细节、不发利用工具、不交给境外
花费0时间少需毅力否收益中口径自由
- 成本：不花钱。把漏洞报给产品提供者，或者报给官方平台。厂商修好之前，不发细节，也不发验证代码
- 说人话：个人也归《网络产品安全漏洞管理规定》管。厂商拿出修补办法之前，你不能公开漏洞，也不能公开正在用的系统的漏洞细节。不能发专门利用漏洞的程序和工具，公开时要同时说清怎么修。没公开的漏洞，不能交给厂商以外的境外组织和个人。
- 收益：这份规定管三类对象：境内的网络产品提供者、网络运营者，以及从事漏洞发现、收集、发布等活动的组织或者个人。任何组织或者个人，不得利用漏洞从事危害网络安全的活动，不得非法收集、出售、发布漏洞信息。向社会发布漏洞信息要守五条。第一，不得在产品提供者提供修补措施之前发布。第二，不得发布网络运营者在用的网络、信息系统及其设备存在漏洞的细节情况。第三，不得刻意夸大危害和风险，不得利用漏洞信息实施恶意炒作或者诈骗。第四，不得发布或者提供专门用于利用漏洞从事危害网络安全活动的程序和工具。第五，发布时应当同步发布修补或者防范措施。另外，未公开的漏洞信息，不得提供给产品提供者之外的境外组织或者个人。规定鼓励把漏洞报给四个官方平台。一是工业和信息化部网络安全威胁和漏洞信息共享平台。二是国家网络与信息安全信息通报中心漏洞平台。三是国家计算机网络应急技术处理协调中心漏洞平台。四是中国信息安全测评中心漏洞库。违反规定收集、发布漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理。构成网络安全法规定情形的，依该法处罚。向社会发布系统漏洞等网络安全信息，应当遵守国家有关规定。违反的，由有关主管部门责令改正、给予警告，可以处 1 万元以上 10 万元以下罚款。拒不改正或者情节严重的，处 10 万元以上 100 万元以下罚款。还可以责令暂停相关业务、停业整顿、关闭网站或者应用程序。也可以吊销相关业务许可证或者吊销营业执照。对直接负责的主管人员和其他直接责任人员，处 1 万元以上 10 万元以下罚款（全国）
- 证据等级：A
- 来源：工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
- 备注：规定把个人明确写进了管的对象里，「我只是个业余爱好者」不在例外里。往境外的漏洞赏金平台提交国内系统的洞，正落在「未公开的漏洞不得提供给境外」这一条上。有没有资格去测，见第 9 条（没有书面授权不测别人的系统），和拿到漏洞后怎么处置要分开看。合法发现的漏洞，也可能因为发布方式违规被罚；未经授权测出来的漏洞，测和发布两头都有问题。报送渠道里，工信部平台和国家互联网应急中心（CNCERT）用得最多。规定没有专门区分「已经通知厂商、厂商却不修」这种情况，实际做法是把协商和报告的过程留下记录，同时报给官方平台。
11不卖翻墙工具、VPN 账号，不替人搭这类节点
花费0时间少需毅力否收益大口径自由
12签了竞业协议，离职后公司不按月给补偿就书面催告，满 3 个月没给可以解除；没接触过商业秘密的岗位可请求确认条款不生效
花费0时间少需毅力否收益中口径金钱
13上班时间、用公司资源写的代码归公司，自己的开源项目用自己的时间和设备做，不混公司代码
花费0时间少需毅力些收益中口径金钱
- 成本：不花钱。入职时把劳动合同里的知识产权条款看清楚。难在个人项目和公司的活常常混在一台电脑上，要分开
- 说人话：主要靠公司的设备、内网或业务数据写出来、由公司担责的软件，著作权归公司，你只保留署名权，合同这么约定的也一样。下班写的，只要用了公司电脑或业务数据，同样可能算公司的。用公司资源做出的发明，专利也归公司。
- 收益：为完成单位工作任务创作的作品是职务作品（上班干活做出来的东西）。一般情形下著作权归作者，单位有权在业务范围内优先使用，并且 2 年内作者不得许可第三人以相同方式使用。但有两类情况不一样。一类是主要利用单位物质技术条件创作、并由单位承担责任的工程设计、软件等作品。另一类是合同约定归单位的作品。这两类作者只保留署名权。单位物质技术条件指的是公司的设备、内网、业务数据这些。执行本单位任务，或者主要利用本单位物质技术条件完成的发明创造，是职务发明，申请专利的权利和拿到的专利权都归单位（全国）
- 证据等级：A
- 来源：全国人大常委会 (2020). 著作权法（2020 年修正，第十八条）. http://www.npc.gov.cn/npc/c2/c30834/202011/t20201119_308796.html；全国人大常委会 (2020). 专利法（2020 年修正，第六条）. http://www.npc.gov.cn/npc/c2/c30834/202011/t20201119_308800.html
- 备注：软件被直接写进「著作权归单位」那一类，程序员几乎落不进「著作权归作者、单位两年内优先使用」那一档。「下班写的」只要用了公司电脑、内网或者公司业务数据，一样可能被算成主要是靠单位的设备和资料做出来的。想把个人项目做干净，就用自己的机器，不碰公司仓库，不和公司业务重叠。
14用 GPL 等开源代码做产品，按许可证要求开源或换许可证，不当「没人管」
花费0时间少需毅力些收益中口径金钱
- 成本：不花钱。用别人的开源代码之前，看一眼它的许可证（作者写明的使用条件）。GPL 这一系要求用了它的产品也得把源码开出来，和闭源卖钱冲突，冲突就换一个。难在舍掉一个已经用顺手的库
- 说人话：侵犯著作权，按对方的损失或你挣到的钱赔，故意且情节严重的，能判到 1 到 5 倍。有家公司招了对手的前员工，做出实质相似的软件，辩称对方软件用了 GPLv2、本该开源。最高法认为对方开不开源不影响它的著作权，照样判停止侵害、赔 50 万元。
- 收益：侵犯著作权，按权利人的实际损失赔，或者按侵权人挣到的钱赔。这两样都算不清的，参照正常买这份授权要付多少钱来定。故意侵权并且情节严重的，可以判 1 到 5 倍赔偿。损害公共利益的，还可以没收违法所得并处罚款。官方案例：（2021）最高法知民终 51 号。被告招聘了原告的前员工，开发出的网关软件与原告软件实质相似。被告抗辩说，原告软件基于 GPLv2、本来就该开源。最高法认定「开发者自身是否违反 GPLv2 协议和是否享有软件著作权是两个独立问题」，判停止侵害、赔偿 50 万元（全国）
- 证据等级：B
- 来源：全国人大常委会 (2020). 著作权法（2020 年修正，第五十三、五十四条）. http://www.npc.gov.cn/npc/c2/c30834/202011/t20201119_308796.html；最高人民法院知识产权法庭 (2022). 涉「开源软件」著作权侵权案（（2021）最高法知民终 51 号）. https://ipc.court.gov.cn/zh-cn/news/view-3042.html
- 备注：这个案子说明，「对方用了 GPL 代码」不能当成你抄它的理由。反过来，GPL 作者起诉不开源的商用方，在国内已经有生效判决，本节未在最高法官网找到原文，所以不引。定 B 级是因为守不守开源许可证，只能靠合同和著作权法里的通用规定管，没有一条专门的法条。
15做 App 只收业务必需的个人信息，14 岁以下要监护人同意，隐私政策写清楚
花费0时间少需毅力些收益中口径自由
- 成本：不花钱。上线前把 App 申请的权限列表和隐私政策对一遍，能不要的权限就不要。难在产品那边总想多留一些「以后可能用得上」的数据
- 说人话：只收业务必需的信息，不满 14 岁的要监护人同意。违规的先责令改正，App 可能被停掉。拒不改正罚 100 万元以下，负责人罚 1 万到 10 万元。严重的罚 5000 万元以下或上年营业额的 5%，负责人罚 10 万到 100 万元，写代码和做产品的也可能算负责人。
- 收益：处理个人信息应当有明确合理的目的，与这个目的直接相关，并且采取对个人权益影响最小的方式。处理个人信息要取得个人同意，或者符合法定情形。不满 14 周岁的，必须取得父母或者监护人同意。违反的，由监管部门责令改正、给予警告、没收违法所得，对违法的 App 责令暂停或者终止提供服务。拒不改正的罚 100 万元以下，对直接负责的主管人员和其他直接责任人员罚 1 万到 10 万元。情节严重的罚 5000 万元以下，或者上一年度营业额 5% 以下。责任人员罚 10 万到 100 万元。这些人还可能被禁止在一定期限内担任相关企业的董事、监事、高管。出售或者提供个人信息构成犯罪的，见第 4 条（全国）
- 证据等级：B
- 来源：全国人大常委会 (2021). 个人信息保护法（第六、十三、三十一、六十六条）. http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html
- 备注：「直接责任人员」在实务里常常落到写代码和做产品的人头上。工信部定期通报下架违规 App，本节没有核实到具体是哪一期通报，所以不引。
16网站、App 上线前先做 ICP 备案，按等级保护要求留 6 个月以上日志
花费少时间中需毅力否收益中口径自由
- 成本：备案免费，走云厂商的流程大概几周。等级保护测评按级别收费。等级保护简称等保，是国家按系统重要程度分级、要求网站和系统做到的一套安全管理动作，小站一般不需要做测评
- 说人话：备案不要钱，走云厂商流程大概几周，境内服务器不备案会被关站。备案说不收费、实际在收钱的，罚 10 万到 100 万元。日志要留满 6 个月，拒不改正或出了后果的罚 1 万到 10 万元。
- 收益：经营性的互联网信息服务实行许可，非经营性的实行备案。没有取得许可、或者没有备案的，不得从事。未备案的，由电信管理机构责令改正，拒不改正的责令关闭网站。未经许可经营的，没收违法所得，并罚违法所得的 3 到 5 倍，或者罚 10 万到 100 万元。网站主页不标备案号，罚 5000 元到 5 万元。网络运营者要按等级保护制度（等保）制定安全管理制度、防范攻击、留存网络日志不少于 6 个月、对数据分类备份加密。不履行的，责令改正、给予警告。拒不改正或者造成后果的，罚 1 万到 10 万元，主管人员罚 5000 元到 5 万元（全国）
- 证据等级：A
- 来源：国务院 (2011). 互联网信息服务管理办法（2011 年修订，第四、十九、二十二条）. https://www.gov.cn/gongbao/content/2011/content_1860864.htm；全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十三、六十一条；2016 年文本为第二十一、五十九条）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
- 备注：境内服务器不备案，域名根本解析不了。备案怎么办、不挂备案号罚多少、怎么查服务商有没有资质，见第 26 节第 4 条（服务器放境内就要备案）。常见的坑有两种：备案成个人非经营性，实际却在收费；换了域名或者换了主体，没去变更备案。日志留 6 个月既是义务也是自保，出事时能证明不是你干的。
17对公众提供生成式 AI 服务前先按规定做安全评估和算法备案，生成内容加标识
花费0时间中需毅力否收益中口径自由
- 成本：不花钱，但要走网信部门的流程，办下来要花些时间。个人做的小工具只要不对公众开放，就不触发这一套
- 说人话：面向公众、能影响舆论或动员人的生成式 AI 服务，上线前要做安全评估、办算法备案，改了或停了还要办变更、注销。生成的图片和视频要加标识。自己用、不对公众开放的小工具不用管这些。违反了按网络安全法等法律处罚。
- 收益：提供具有舆论属性或者社会动员能力的生成式人工智能服务，应当按国家规定开展安全评估，并按算法推荐管理规定办算法备案，以及后续的变更、注销手续。舆论属性或者社会动员能力，指的是能影响公众看法，或者能把人组织动员起来。提供者应当对图片、视频等生成内容进行标识。办法自 2023 年 8 月 15 日施行（全国）
- 证据等级：B
- 来源：国家互联网信息办公室等七部门 (2023). 生成式人工智能服务管理暂行办法（第十二、十七条）. https://www.gov.cn/zhengce/zhengceku/202307/content_6891752.htm
- 备注：这个办法自己没写罚多少钱。违反了要回到网络安全法、数据安全法、个人信息保护法里找处罚，所以定 B 级。用 AI 生成的内容侵犯别人著作权、肖像的民事案例，本节未在最高法官网核实原文，不引。低价转卖境外大模型接口的中转站，见本节第 19 条（AI 中转站）。
18不做、不发自动跳过或屏蔽别家 App 广告的工具，免费、不联网也可能被判不正当竞争
花费0时间少需毅力些收益大口径金钱
19不搭「AI 中转站」低价转卖境外大模型接口：上海已有站长被刑事拘留
花费0时间少需毅力些收益大口径自由