朋友替老板买发票变现20万元的行为是违法的，且可能构成犯罪。以下从不同法律角度进行详细分析：

1. 从发票管理法规角度

• 根据《中华人民共和国发票管理办法》第二十二条，任何单位和个人不得为他人、为自己开具与实际经营业务情况不符的发票，也不得让他人为自己开具或介绍他人开具此类发票。
• 买发票的行为属于“虚开发票”的范畴，即使发票内容与实际业务无关（如虚构交易），也违反了发票管理规定。
• 处罚：税务机关可责令改正，没收违法所得，并处1万元以上5万元以下罚款；构成犯罪的，依法追究刑事责任。

2. 从刑法角度（虚开发票罪）

• 若买发票行为涉及虚开增值税专用发票或用于骗取出口退税、抵扣税款的其他发票，可能触犯《刑法》第二百零五条：
  • 虚开税款数额1万元以上，或使国家税款被骗取5000元以上的，即构成犯罪。
  • 最高可处无期徒刑，并处罚金或没收财产。
• 即使不涉及增值税专用发票，若买发票行为属于“虚开普通发票”（如为他人虚开、为自己虚开等），且情节严重（如虚开发票金额累计40万元以上），可能触犯《刑法》第二百零五条之一（虚开发票罪）：
  • 最高可处7年有期徒刑，并处罚金。

3. 从非法经营或诈骗角度

• 若买发票的目的是“变现”（如将发票金额套现），可能涉及其他犯罪：
  • 非法经营罪：若行为人通过虚开发票进行非法资金结算，扰乱市场秩序，可能构成此罪。
  • 诈骗罪：若买发票行为伴随虚构事实、隐瞒真相（如骗取公司或他人财物），可能构成诈骗罪。

4. 对“朋友”和“老板”的责任分析

• 朋友：作为直接实施买发票行为的人，需承担主要法律责任。
• 老板：若老板指使或参与买发票行为，属于共同犯罪，需承担同等或更重的法律责任。

5. 实务中的风险

• 税务机关可通过大数据比对、资金流向追踪等手段发现虚开发票行为。
• 即使未被立即查处，相关记录可能长期留存，未来被追责的风险极高。

建议

1. 立即停止行为：若已参与，应尽快向税务机关自首并补缴税款，争取从轻处理。
2. 保留证据：如聊天记录、转账记录等，以备后续维权或自证清白。
3. 咨询专业律师：若涉及刑事风险，需尽快委托律师介入，制定辩护策略。

总结：买发票变现20万元的行为不仅违法，还可能构成犯罪，涉及刑事处罚。无论是“朋友”还是“老板”，均需承担法律责任。建议立即停止行为，并寻求法律帮助。