为什么每个逆向工程师都该懂合规
逆向技术本身是中性的——安全研究、漏洞挖掘、互操作性开发都是合法用途。但技术的使用场景有明确的法律边界，越界不是"技术厉害"的问题，是刑事责任的问题。这个圈子每年都有人因越界进去，合规认知是职业生涯的保命符。
法律框架速查
涉及逆向的主要法规：
- 《刑法》285 条：非法侵入计算机信息系统罪、非法获取计算机信息系统数据罪
- 《刑法》285 条之三：提供侵入、非法控制计算机信息系统程序、工具罪
- 《网络安全法》：数据安全与个人信息保护
- 《反不正当竞争法》：商业数据的不正当获取
- 《著作权法》：软件的反向工程例外（有限制）
关键判例逻辑：技术手段 + 数据性质 + 商业影响三者共同定性。
边界划分：什么能做什么不能做
明确合法（放心做）：
- 逆向自己开发的软件/自己拥有的设备
- 安全研究并在厂商 SRC 平台提交漏洞
- 学习目的的逆向分析（不传播、不商用）
- 获得书面授权的渗透测试/安全评估
灰色地带（谨慎评估）：
- 爬取公开数据（看 robots 协议、数据量、是否影响对方服务）
- 逆向分析竞品（学习目的可以，复制功能商用有风险）
- 协议模拟自己账号的自动化（个人使用规模小风险低）
明确违法（别碰）：
- 批量注册、养号出售
- 绕过付费墙获取付费内容并传播/商用
- 盗取用户数据（cookie、账号密码）
- 制作销售外挂、薅羊毛工具
- 入侵系统获取非公开数据
接单的合规审查清单
接逆向单子前，过一遍这个清单：
- 委托方身份：是公司还是个人？能否提供营业执照？
- 数据授权：目标数据是委托方自有的，还是第三方的？第三方数据有没有授权文件？
- 用途：采集的数据用来干什么？（内部分析 vs 转售 vs 竞争对抗）
- 规模：单账号自用 vs 万号批量？（规模是定性的重要因素）
- 合同：有没有书面合同明确"数据来源合法性由委托方负责"？
五项有任何一项含糊，要么补文件，要么拒单。
精髓：三个实操原则
- 留痕意识。所有的授权、合同、沟通记录留档——真出事时，"我以为是合法业务"的抗辩需要证据支撑。微信聊天记录也算证据
- 技术隔离。做授权业务时，技术方案上避免"超出授权范围的能力"——比如授权采 A 站点，你的工具别做成"通吃所有站点"，能力边界和授权边界对齐
- 及时止损。业务进行中如果发现委托方实际用途和当初说的不一致（比如说是内部分析，实际在转售数据），立即终止合作并留证——继续干就是共犯
总结
- 技术中性，使用有界：手段+数据性质+商业影响共同定性
- 合法/灰色/违法三档清单，接单前逐项过
- 授权文件、书面合同、沟通留痕是护身三件套
- 发现用途变质立即终止并留证，别成共犯
交流微信：run1255