用代码抢菜？论抢购软件背后的法律风险

我们正常使用手机客户端“抢菜”时，每次点击添加购物车、结算、选择配送时间等，客户端均会向购物平台的服务器发送一个或多个数据包，服务器会校验和读取这些数据包，以确认是否来自合法途径、请求内容是否有效，并判断运力和库存是否符合我们的请求，然后向我们返回包含结果的数据包。

抢菜代码为了实现自动化抢菜，需具备两个主要功能：

1、抢菜代码能够“冒充”手机客户端，生成与客户端相同的数据包，确保通过服务器的校验并被服务器顺利读取。

具体而言，服务器在校验数据时，一般会核对其中包含的用户识别码、Cookie、设备ID、软件版本号等用户特征信息，这些信息与用户的账号和设备是一一对应的，服务器以此来确认数据包来自官方客户端。而抢购代码的作者通过“抓包”的方式，了解了正常数据包所需包含的全部内容，并利用代码来生成结构相同的数据包。用户在运行代码前，通过“抓包”的方式截取自己账号和设备所对应的用户特征信息，并填入代码中，即可让服务器误认为数据包来自官方客户端。

2、抢菜代码能够在毫秒级的时间内反复多次发送数据包至服务器，并根据服务器的反馈作出相应动作，直至下单成功，中途无需人工介入。

经笔者测试，本次上海疫情封控期间出现的抢菜代码，大部分都具备上述两个功能。

一方面，抢菜代码通过上述伪装功能，绕过了服务器的登录验证和数据包合法性检验等机制，这些验证机制属于服务器的安全保护措施之一；另一方面，由于购物平台本身显然仅授权其官方客户端与服务器进行通信，故抢菜代码属于超越权限获取了服务器数据。

因此，抢菜代码符合《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称“《解释》”）第二条¹所定义的“专门用于侵入、非法控制计算机信息系统的程序、工具”。

笔者检索了相关案例，可见近年来审判机关也持此观点：

因本文所述的抢菜代码属抢购软件的一种，为便于表述，本文以下统称“抢购软件”。

注：本文第一版发布后，有读者指出，抢菜代码未绕过服务器的前置云防护，且权限限于所用身份认定授予的用户权限，因此未超越权限。该读者还指出，上述《解释》的撰稿人，最高人民法院喻海松法官在《<关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释>的理解与适用》中提到，“专门”工具不包括既可以用于违法犯罪目的又可以用于合法目的的‘中性程序’”，并质疑抢菜软件是否属于中性程序。

因笔者无法联系上该读者，只好在此回复如下：

第一，“安全防护机制”不应狭义的理解为用于预防网络攻击的安全措施，服务器为避免无效访问等而设置的登录验证和数据包合法性检验机制也属于广义上的“安全防护机制”，这也与上述各法院的观点相吻合。

第二，超越权限中的“权限”，应理解为权利人作出的授权。对抢菜代码而言，权利人是指购物平台。购物平台并未授权除客户端以外的工具直接访问服务器进行下单，因此抢菜代码显然是超越权限的，而与代码运行过程中是否超出一般用户权限获取其他数据无关。

第三，抢菜代码不属于“中性软件”。应注意，喻法官强调的是合法用途，而非合理用途。抢菜代码唯一的设计用途，便是绕过服务器的验证机制并高速提交下单请求，根据上述的分析，这并非合法用途。喻法官所指的“中性软件”，现实生活中可以VPN软件为例，在此不再赘述。

抢购软件的上述法律性质，决定了开发和出售抢购软件，可能涉嫌《中华人民共和国刑法》（以下简称“《刑法》”）第二百八十五条²第三款规定的“提供侵入、非法控制计算机信息系统程序、工具罪”；为盈利目的使用抢购软件的，则可能涉嫌第二款规定的“非法获取计算机信息系统数据、非法控制计算机信息系统罪”。

我们以“抢购”、“软件”等为关键词检索，可得如下实际与抢购软件的开发、传播、使用相关的案例：

以上海疫情封控期间各“抢菜代码”为例，下载使用人数如达到20人次，则符合“情节严重”的标准；如达到100人次，则符合“情节特别严重”的标准，可能涉嫌提供侵入计算机信息系统程序、工具罪。而收费代抢购的“黄牛”党，若收取的“代拍费”达到人民币5000元，则可能涉嫌非法获取计算机信息系统数据罪。

另需提示，由于购物平台集中放货时服务器访问量密集，此时运行抢购软件将造成网络进一步拥堵，影响服务器的正常访问。依据《刑法》第二百八十六条⁵以及《解释》第四条⁶，如造成相关服务器不能正常运行累计一小时以上等不良后果的，抢购软件的开发者和使用者还可能涉嫌“破坏计算机信息系统罪”。

（1）购物平台可能有权作出取消订单、取消会员资格、禁止下单等惩罚性措施。

电商平台的用户协议中，通常已对非正常途径恶意下单的后果进行了约定。例如：

图1：《山姆会员商店会员章程》节选。图源：山姆会员商店app。

图2：《叮咚买菜服务协议》节选。图源：叮咚买菜app。

因此，即便使用抢购软件抢到了商品，购物平台也很可能有权取消订单，甚至取消会员资格、限制交易等惩罚性措施。其背后的原因，还是在于抢购软件极易扰乱购物平台正常的交易秩序、破坏公平竞争的网络环境、增加服务器负荷，因此不应鼓励使用。

（2）抢购软件若造成购物平台损失的，购物平台可能提起民事诉讼。

若制作、发布或使用抢购软件造成购物平台损失，则平台有权向侵权人主张赔偿。

此外，由于抢购软件一定程度上扰乱市场竞争秩序，甚至对购物平台构成一定的竞争，行为人也可能因违反《反不正当竞争法》⁷而被判定侵权。经笔者检索，目前已有部分相关案例，值得引起重视：

另需注意，即便行为人已经承担了刑事责任，也不影响购物平台向其主张民事责任⁸。

为尽可能避免上述法律风险，我们建议，开发者和使用者应注意：

抢购软件虽具有一定的实用性，但其扰乱了正常的交易秩序、破坏了公平竞争的环境，不应鼓励使用。

从法律角度来看，制作、传播和使用抢购软件若后果达到一定的法律标准，将可能触犯《刑法》第二百八十五条，甚至第二百八十六条；且即便下单成功，购物平台亦有权依据用户协议来取消订单、取消会员资格，甚至提起民事诉讼。抢购软件的开发者和使用者均需要充分地认识到其背后的法律风险，并注意防范。

最后，我们认为，抢购软件仅是功能较为单一的专用软件，而我们日常生活中所使用的各类网站和其他计算机软件，在开发和使用中可能涉及更复杂的法律问题。作为开发者、经营者和使用者，需同时具备对代码的理解和对法律的理解，谨慎地预见和防范其中的法律风险。