补天是什么？五组对比讲清平台定位
补天是什么，为什么它经常与白帽子、SRC和漏洞奖励同时出现？本文不做抽象定义，而是从漏洞平台与论坛、公益SRC与专属SRC、白帽用户与企业用户、现金奖励与安全价值、保密处置与公开披露五组关系逐项比较，帮助新手快速理解其功能与边界。
问题一：补天是论坛还是漏洞平台
补天是什么？准确地说，它是专注于漏洞响应的第三方平台，连接发现安全问题的研究者与负责修复问题的企业。它并非普通技术论坛：论坛主要用于公开讨论和经验交流，漏洞平台则需要接收敏感报告、验证有效性、通知责任方，并跟踪修复及奖励状态。
两者最大的区别是信息处理原则。普通帖子追求可见性，漏洞报告强调保密性，因为未经修复的细节可能被滥用。补天官方说明，其平台承担漏洞报告、审核和响应协调等功能，并对敏感漏洞信息采取保护措施。([butian.net](https://www.butian.net/Help/faq))
问题二：公益SRC与专属SRC有何不同
公益SRC偏向基础漏洞接收机制。白帽发现问题后提交平台，平台审核并联系企业认领，适合尚未自行建立完整安全响应中心的机构。专属SRC则由企业设置测试计划、资产范围、漏洞等级和奖励规则，管理方式更接近企业自有的漏洞奖励项目。
逐项比较来看，公益SRC的厂商参与程度相对被动，规则更多参考平台标准；专属SRC的厂商参与程度更高，测试边界和奖金通常更明确。研究者不能仅凭企业名称选择目标，而应进入具体计划页面确认允许测试的域名、应用、账号类型和禁止行为。([butian.net](https://www.butian.net/Help/faq))
问题三：白帽与企业分别得到什么
对白帽而言，补天提供统一的报告入口、审核反馈、进度记录和可能的奖励，同时也要求实名认证、遵守行为规范并控制测试影响。与直接发送邮件相比，流程更标准；与随意公开问题相比，责任边界和信息保护更清楚。
对企业而言，平台价值主要是获得外部安全发现能力，并把零散报告纳入确认、分级、修复和回检流程。但平台不能替代企业内部安全建设：企业仍需维护资产清单、安排修复负责人、设置通知邮箱，并对高风险问题建立应急响应机制。
问题四：漏洞奖励等于固定收入吗
不等于。现金、积分或礼品只是有效报告可能获得的反馈形式，最终结果受漏洞是否重复、影响程度、报告质量、厂商计划及审核结论影响。专属SRC通常按厂商公布的奖励计划执行，公益项目则可能采用平台规则，二者不能直接套用同一价格表。
与固定兼职相比，漏洞提交存在明显不确定性：投入时间未必对应奖励，重复问题可能没有回报，难以复现的报告也可能被关闭。因此，判断补天是什么时，不应把它理解为“做任务赚钱的网站”，而应视为负责任披露和安全协作渠道。([butian.net](https://www.butian.net/newneed))
问题五：平台提交与公开披露如何选
平台提交强调先通知责任方、推动验证和修复；公开披露则涉及更高的信息扩散风险。对于尚未修复的问题，尤其是正在使用的系统漏洞，擅自公布利用细节可能给用户和企业造成二次风险，也可能触碰监管要求。
现行漏洞管理规定要求漏洞信息发布遵循必要、真实、客观和有利于风险防范的原则，并限制在修补措施发布前公开细节。因此，正常顺序应是确认授权、私下报告、等待修复、按规则披露，而不是先发文章再要求厂商处理。([cac.gov.cn](https://www.cac.gov.cn/2021-07/13/c_1627761607640342.htm?Offer=ab_ss_reeng_plt_ctrl&utm_source=openai))
推荐阅读
常见问题
- 补天是什么公司开发的平台？
- 补天是面向企业和安全研究者的漏洞响应平台。了解主体信息时应以官方网站备案、用户协议和最新帮助中心内容为准。
- 普通人可以注册补天吗？
- 可以了解和注册，但提交漏洞通常涉及实名认证与行为规范。没有安全基础或授权意识时，应先学习合规测试和报告写作，不要直接测试陌生网站。
- 补天会公开完整漏洞细节吗？
- 平台处理原则以保护企业和用户安全为核心，敏感细节不会像普通论坛帖子一样随意展示，具体可见范围以最新平台规则为准。