该怎么办？

首先：

• 您没有向政府/外部方/签证/万事达卡报告此情况

外部各方通过利益冲突使事情复杂化。这不是他们的业务，而是拥有易受攻击的 api 的公司的业务。决定如何处理的不是他们，而是公司。

• 请勿将细节告诉您的朋友、家人或任何人。

在这里你很容易让自己陷入困境。如果后来发现您认识的人使用或试图使用这些信息，您可能会因鲁莽行为而被追究责任，或者至少会受到严厉调查。不要把自己放在这个位置上，不要告诉任何人任何会让他们重蹈覆辙的事情。

• 不要惊慌

你现在能做的最好的事情就是冷静地制定计划并执行它。任何能够利用这一点的人都可能已经知道它。任何不是的人都可能不会在接下来的几天内发现这一点。

现在，继续：负责任的披露

第 1 步 - 准备

在做任何事情之前，我们需要确保易受攻击的 API 有良好的文档记录并有一组说明。例如，一份小报告，不必很长，只要易于理解即可。这个想法是，办公室内的实习生应该能够按照步骤，重现漏洞并成功识别安全风险。一个小的 PDF 或 WORD 文档就可以了，只要确保你准备好了一些东西，以防事情进展得很快。

第 2 步 - 第一次接触

接下来是与公司的第一次接触。第一次接触是一件很微妙的事情。一方面，您会期望公司将客户的利益放在首位。另一方面，一些公司对那些为了所有相关人员的利益而披露漏洞的人的反应相当糟糕（在我看来，这是不负责任的）。出于这个原因，您希望保留确切的细节，直到达成协议，不会对您采取任何行动。

我，我是偏执狂，当我遇到这种事情时，我会去咖啡店，使用 TOR 并使用电子邮件（我使用类似过程设置的电子邮件）发起第一次联系。但是，您希望使用何种匿名级别取决于您。

有些事情你可以检查。如果公司有漏洞赏金，或者有披露政策。你应该没事。你可以打电话给公司，询问他们是否有负责安全披露的部门。大多数这种规模的公司都有security@company.com电子邮件。所有这些都将包含信息，这些信息将引导您准确地找到第一次联系的地点。

第 3 步 - 处理

一旦你与合适的人交谈，它应该从那里自行解决，除非我之前提到过，如果没有漏洞奖励或披露政策，请确保你让他们同意涉及你安全第一的披露条款. 在某个时候，您会将您在步骤 1 中制作的文件交给他们。

第 4 步 - 关闭

最后一步是公开披露。此步骤完全是可选的，将与步骤 3 中商定的披露条款密切相关。但通常双方同意公司在发布公告之前必须修复此漏洞的时间量。研究人员希望将其发布在他们的博客上或将其用作其他项目或资格的参考材料是完全正常的。这段时间确保公司不会受到过度压力，并给他们时间采取行动。

恭喜，您刚刚进行了第一次负责任的披露。您可以选择永远不宣布它，这很好。在这种情况下，对您而言，从第 3 步开始的时间段将是您可以安全地告诉朋友和家人确切细节的时间。

我希望我能代表希望负责任地披露，唉，相反，我祝你好运。尽量保持谨慎，保证自己的安全，并尝试与他们合作。祝你好运。