网络安全副业只走合规路：在厂商官方 SRC（安全应急响应中心）提交授权范围内的漏洞，拿赏金。任何未授权扫描、渗透、利用均违法，本篇只讲合法路径。

实操步骤

1. 学基础：系统学 Web 安全、OWASP Top 10、信息收集，打 CTF 练手，不走野路子。
2. 认准官方SRC：只在国内大厂（阿里、腾讯、字节等）和合规平台（补天、漏洞盒子）的授权范围提交。
3. 守边界：严格在厂商给的测试域名或 IP、时间内测，不越权、不碰用户数据、不存证。
4. 写报告：按 SRC 模板写清楚复现步骤、危害、修复建议，报告质量决定赏金。
5. 积累信誉：高质量提交攒积分和排名，进白帽圈子接更多合规委托。

关键提醒

• 红线：未授权对任何系统扫描、渗透、利用均违法（刑法285条），只提交、不动手。
• 不买不卖漏洞，不碰他人系统，赏金走平台合规结算。
• 把精力放合规 SRC 和白帽社区，长期更值钱。

老周结论：安全副业只走合法 SRC 众测：学基础、认官方授权、守边界、写好报告。未授权渗透是犯罪不是搞钱，守住红线才有长期收益。