去年某大型连锁酒店的关于数据泄露事件，根子出在一个没打补丁的网络旧版Struts2框架上。攻击者利用OGNL表达式注入，安全直接拿到了服务器权限，漏洞500万条客户开房记录被挂到暗网叫卖。关于这事跟普通用户有什么关系？网络你住过那家酒店，你的安全身份证号、手机号、漏洞入住时间就全在别人的关于Excel表里了。网络安全漏洞从来不是网络技术圈的自嗨，它最终会落到每个人的安全账单和隐私上。

做安全的漏洞人常把漏洞比作“门没锁”。但实际情况比这复杂得多。关于有的网络漏洞是窗户虚掩——比如弱口令，admin/admin就能进后台；有的安全是墙里埋了根管子直通外面——比如Log4j2的JNDI注入，一个日志打印功能就能触发远程代码执行；还有的是锁本身没问题，但钥匙被复制了——比如供应链攻击，你用的第三方库被人投了毒。分类方式很多，按利用位置分远程和本地，按成因分编码错误和逻辑缺陷。我倾向于按“攻击者需要什么条件”来分：需要网络访问的、需要本地权限的、需要用户交互的。这个维度直接决定修复优先级。

讲个具体案例。2021年底的Log4j2漏洞，CVSS评分10.0。那几天安全圈没人睡觉。这个漏洞的可怕之处在于利用门槛极低——攻击者只需要在能被日志记录的地方输入一段特定字符串，比如在聊天框发个消息、在用户名字段填个特殊构造的文本，服务器就会去加载远程恶意类。全球数百万Java应用受影响，从iCloud到Steam到Minecraft服务器。修复过程也混乱：官方补丁出了好几个版本，每个都修不干净，最后建议大家升级到2.17.1。那段时间我见过的运维群里，有人凌晨三点还在重启服务，有人直接把Log4j2的JndiLookup类删了应急。这种漏洞就是典型的“一颗老鼠屎坏了一锅粥”，你代码写得再好，依赖了一个有问题的库，全白搭。

漏洞从被发现到被利用的时间窗口在急剧缩短。以前一个漏洞公布后，攻击者可能几周后才写出利用工具。现在呢？Pwn2Own比赛上，选手演示完漏洞利用，几小时内就能看到武器化的EXP在流传。更别提那些0day，在补丁出来之前就已经在野被利用了。企业安全团队面对的现实是：你永远在跟攻击者赛跑，而且你经常不知道跑道上有几个坑。我见过一家金融公司，内部安全扫描每周跑一次，结果一个0day漏洞在他们扫描间隙被利用，数据被拖走了才收到告警。扫描器不是万能的，它只能发现已知的、有签名的漏洞。

普通人能做什么？别点陌生链接、别用同一个密码、及时更新系统和软件——这些话听起来像老生常谈，但确实管用。我自己的习惯是：所有重要账户开双因素认证，浏览器装个uBlock Origin挡掉恶意广告，路由器固件每季度手动检查一次更新。企业层面，资产梳理比买多少安全设备都重要。你连自己有多少个对外暴露的端口、多少个老旧系统在跑都不知道，谈何防护？SDL流程、代码审计、渗透测试、漏洞奖励计划，这些是正经做安全的路子。但最根本的一条：别把安全当成本中心，它应该是产品的一部分。一个连基本输入验证都做不好的登录页面，用户凭什么相信你能保护好他的数据？

漏洞不会消失。只要有人在写代码，就会有bug。区别在于，有些团队把漏洞当学习机会，快速响应、透明披露、持续改进；有些团队则选择捂盖子、拖时间、赌没人发现。前者赢得信任，后者迟早出事。你属于哪一种？