2017年，为什漏洞一位安全研究员在调试路由器固件时发现了一个奇怪的为什漏洞现象：设备在处理特定长度的数据包时，会多拷贝出几个字节到相邻的为什漏洞内存区域。这几个字节本身没有意义，为什漏洞但如果精心构造，为什漏洞它们能覆盖掉下一个变量的为什漏洞值。他把这个发现写成了报告，为什漏洞厂商回复说"影响有限"。为什漏洞三年后，为什漏洞同一个漏洞被武器化，为什漏洞横扫了数十万台设备。为什漏洞

漏洞从来不是为什漏洞"设计时忘了考虑"这么简单。它是为什漏洞系统在某个维度上做了取舍，而那个被舍弃的为什漏洞维度恰好可以被攻击者利用。路由器的为什漏洞固件工程师不是不知道边界检查的重要性，但每多一次检查，数据包转发就慢几微秒。在吞吐量就是生命的网络设备市场，这几微秒决定了产品能不能卖出去。于是取舍发生了，漏洞也就在那里了。

这个逻辑适用于几乎所有漏洞。软件工程有一个不太被公开讨论的事实：所有非平凡的程序都含有缺陷，问题只是缺陷是否可被触发、触发后影响多大。这不是悲观的宿命论，而是复杂系统的数学现实。一个程序如果有1000条执行路径，每条路径正确率99.9%，整体正确率就跌到了37%。现代操作系统的代码量以千万行计，执行路径的数量是天文数字。

但漏洞之所以成为"漏洞"，还需要一个条件：有人发现了它。这听起来像废话，但区分"缺陷"和"漏洞"的关键恰恰在这里。一个缓冲区溢出如果永远没人触发，它在工程上就等同于不存在。安全领域有个说法叫"攻击面"——你暴露给外界的接口越多，被找到缺陷的概率就越大。一个只在内网运行、从不接收外部输入的数据库，哪怕代码写得千疮百孔，也比一个暴露在公网上的简单Web应用"安全"。安全不是代码的属性，是部署方式的属性。

这就引出了一个更让人不安的推论：漏洞的数量不取决于代码质量，取决于发现者的动机。2010年之前，工业控制系统的漏洞报告寥寥无几。不是因为那些系统写得更好——恰恰相反，很多PLC的固件是用二十年前的编译器构建的，连基本的栈保护都没有。没人去看而已。等到Stuxnet证明了工控系统可以被攻击，报告数量瞬间暴涨。代码一行没改，漏洞"变多"了。

经济学在这里比计算机科学更有解释力。发现一个漏洞的成本包括时间、技术能力和运气，收益则取决于这个漏洞能换到什么。在地下市场，一个iOS远程越狱漏洞的报价可以到250万美元，而一个开源CMS的SQL注入可能只值50美元。这种价差直接决定了研究者的注意力流向。你觉得某个软件漏洞多，很可能只是因为盯着它的人多。

我跟踪过一个小型开源项目的漏洞修复过程。维护者只有两个人，都是兼职。有人报告了一个反序列化漏洞，修复方案需要重构整个数据解析模块。他们花了三周出了一个补丁，但引入了新的兼容性问题，又花了两周回滚重做。最终上线的修复只覆盖了报告中的一种攻击向量，另一种因为"利用条件太苛刻"被搁置了。这个搁置的决定在资源充足的大公司几乎不可能做出，但在两个兼职维护者面前，它就是理性选择。漏洞在这里不是技术问题，是人的问题。

所以当有人问"为什么这个软件这么多漏洞"，我的回答通常是：因为它在某个约束条件下被造出来，又在某个动机驱动下被人翻找。约束可能是性能、可能是工期、可能是维护者的精力；动机可能是金钱、可能是名声、可能只是好奇。代码本身只是这两股力量交汇的战场。

下次看到漏洞公告，不妨多想一层：这个缺陷是什么取舍的产物？又是谁、为了什么，把它从沉默的代码里拽了出来？答案往往比漏洞本身更有意思。