先说结论：能发。原文里的“著名厂商”大概率只是作者在介绍自己的案例，不等于 T00ls 只收大厂；平台一般更看漏洞是否原创、影响是否够、能不能复现、材料是否完整。具体还是以漏洞区当前版规和投稿入口为准，别照着旧帖硬套。
建议按这个顺序来：先看目标有没有 SRC、赏金或明确的安全联系方式；中小企业可以直接联系技术负责人或官方安全邮箱；政府、事业单位优先走其网信/运维主管单位、属地 CERT，或者尝试 CNVD、CNNVD 的正式收录渠道。拿到明确授权和测试范围后再发文章，帖子至少写清系统、版本、前置条件、最小化复现、实际影响、是否已通知厂商，敏感数据和管理地址记得脱敏。
法律风险的关键不在“政府还是小企业”，而在有没有授权、验证到什么程度、是否拿到数据或影响业务。公开浏览和主动扫描、漏洞验证不是一回事；未授权访问、越权取数或者造成系统异常，严重的可能涉及刑事责任，机关系统还可能碰到关键信息基础设施和保密方面的要求。不要直接拿政府站练手，也别在修复前公开可复用 payload，至少先私下报告，等对方确认修复或到其允许的披露时间再投稿。论坛里别人敢发不代表大家都没授权，很多只是走了内部或官方渠道。
