南山科技园有个程序员朋友，有天加班，无意在系统里发现一个能绕开权限的漏洞，数据有被动过的风险。他第一反应是赶紧报上去，可话到嘴边又停住了，怕这茬一说，上面先来查是不是他捅的娄子。
他想了半天，没声张，先把自己的操作记录留好底，又试着复现了一遍，确认是真漏洞。然后挑了个稳妥的场合，私下跟技术负责人说，这块好像有个风险点，我试了下能绕过去，你看是不是该封一下。话留着余地，也把自己摘干净了。
负责人一听查了查，确实是问题，连夜找人补上，还专门在公司例会上提了一句有人及时发现，值得表扬。我那朋友这才松口气，要是当初莽撞地到处嚷嚷，指不定先被当成捣乱的。
你看，发现漏洞本来是好事，可怎么报、跟谁报、留不留证，都讲究。先稳住自己，再把风险摆到该听的人面前，功未必落你头上，麻烦肯定先绕着你走。
❝发现漏洞本来是立功，可报得快了反而成事。先稳住留好底，再把风险递给该听的人，功未必落你头上，麻烦肯定绕着你走。❞