漏洞这个词，漏洞英文里最直白的用英对应是vulnerability。但你要是文说只记这一个，碰到具体场景准会卡壳。漏洞 前两天看安全圈一个老哥发帖，用英说他跟老外对接渗透测试，文说张口闭口说bug，漏洞对方愣了半天。用英后来才明白，文说人家管系统漏洞叫vulnerability，漏洞管代码缺陷才叫bug。用英这俩压根不是文说一个层面的东西——bug是写代码时手滑留下的逻辑错误，比如循环条件写反了，漏洞数组越界了；vulnerability是用英系统设计或实现中能被利用的弱点，比如没做输入过滤，文说权限校验绕过。你拿把螺丝刀拧错螺丝，那是bug；你家的锁芯本身有缺陷，随便拿张卡就能捅开，这才是vulnerability。 更麻烦的是，漏洞在不同语境下还有别的叫法。安全研究员写报告，常用exposure，强调“暴露面”，指系统对外暴露的风险点。攻击者圈子里黑话更多，管零日漏洞叫zero-day，管已公开但没修复的叫known exploit。还有个词是flaw，偏文学化，写文章时用得多，比如“a fatal flaw in the authentication protocol”，意思听着就比vulnerability更带悲剧色彩。 我印象最深的是有一次看CVE（公共漏洞数据库）的条目，描述里写的是“a remote code execution vulnerability exists in...”，但同一条目的标题却用“RCE flaw”。你看，官方数据库自己都在混用。所以别纠结哪个词“最正确”，关键看场景——跟开发聊代码问题说bug，跟安全工程师谈系统弱点说vulnerability，写渗透报告用exploitable weakness，跟老板汇报就干脆说security risk。 还有个冷门的，叫attack surface，直译是攻击面。这不算漏洞本身，但描述漏洞影响范围时常用。比如“the update reduces the attack surface”，意思是这次更新缩小了可被攻击的范围。你要是把attack surface也翻译成漏洞，意思就歪了。 说到底，语言是活的。安全圈每天冒新词，什么logic bomb、backdoor、privilege escalation，各有各的精确指向。真到用的时候，别怕用错，老外自己也在混着说。你只要记住最核心的那条线——bug是代码错，vulnerability是系统弱，exposure是暴露面，flaw是文学化表达，zero-day是没补丁的紧急漏洞——基本就够用了。 要是哪天你看到有人把漏洞翻译成hole，也别笑。早些年英文文献里确实用security hole，现在过时了，但老文档里还能碰到。语言就这么回事，一层层叠着旧词和新词，跟漏洞本身一样，总在演化。

(责任编辑：热点)