目标
赏金计划的生死系于研究者的信任：分诊慢、定级抠，会把好的发现者推向竞品或直接全量披露。当天确认、以证据定级、数日内付款——这三件事的机械执行，就是让高质量报告持续到来的全部秘诀。降级回复尤其要写得像技术对话而不是信任破裂。
步骤要点
- 时限内首次响应：每个提交在一个工作日内确认并给出预计评审时长，垃圾与无效件礼貌关闭在数小时内。
- 按报告者步骤复现：在受控环境内部复现，验证其影响声明，之后才谈严重度与赏金。
- 按真实影响定级：以你的上下文中实际演示出的损害（访问了什么数据、获得什么权限、动了什么钱）计分，而非报告者声称的 CVSS。
- 带证据沟通结论：降级与重复提交要写明具体理由，引用重复件或起缓解作用的控制措施，让研究者能评估你的逻辑。
- 快速付款并闭环披露：验证后数日内放款，修复上线后与研究者协调披露时间并致谢。
排错提示
降级引发公开抱怨多半是回复只给了结论没给理由，引用演示出的影响而非声称的 CVSS；付款拖到季度末是赶走研究者的最响信号，把放款从修复完成后提前到验证完成后；同一研究者不再回头是程序健康度的先行指标，滚动统计复报率。
适用边界
分诊与复现的时效依赖安全团队轮值产能，提交洪峰需自动化预筛配合；公开披露节奏受漏洞严重度与合规约束，协调窗口要与法务对齐。
代码示例
report #7741 (2026-10-21 09:12Z) IDOR on /api/invoices
triage:
10-21 09:40Z acknowledged (28 min, SLA: 1 day)
10-21 15:22Z reproduced internally
-> GET /api/invoices/81221 as user B: 200 (owner: A)
-> impact: cross-tenant financial data = sev2
10-21 16:05Z graded + explained to researcher
(claimed sev1; downgraded with impact reasoning)
10-22 11:00Z fix merged + deployed
10-22 14:30Z reward released: $1,800 (sev2 tier)
10-29 disclosure coordinated (14d window)
program medians (rolling 90d):
first response: 6h validation: 1.2d payment: 3.1d