漏洞報告怎麼寫才拿得到全額：品質係數、一頁模板與期望值試算
Google 依報告品質把獎金乘上 0.8、1 或 1.2 倍，看七個維度，而且只採計分流前已有的資訊，事後補充通常不影響。照一頁模板（標題、摘要、前提、重現步驟、影響、修補建議）寫，再用「機率 × 金額 ÷ 時數」粗估每小時期望；上限再高，機率小到一定程度，期望也可能比小額獎金低。文中的機率與時數全是假設，不是統計。
#idor
2 篇文章網站最常見的兩種洞：XSS 與 IDOR，為什麼獎金差這麼多
XSS 是網站把使用者輸入原樣放進網頁，讓別人的瀏覽器把它當程式執行，修法是輸出時轉義。IDOR 是伺服器收到 id 就給資料，沒檢查這筆資料是不是你的，修法是伺服器端檢查擁有者。Google 獎金表把 XSS 放在「在受害者瀏覽器執行程式碼」（C0），一般 Google 應用基準 10,000 美元；IDOR 放在邏輯漏洞（S2），價位看洩漏的資料多敏感，同樣在一般 Google 應用上是 3,133.7 到 31,337 美元。