我上周提交了一个XSS漏洞报告，漏洞对方回复“已知问题，算不算暂不修复”。漏洞三天后，算不算这个漏洞被黑产利用，漏洞批量盗取用户账号。算不算漏洞算不算？漏洞当然算，只是算不算他们不认。

漏洞的漏洞定义其实很尴尬。厂商说“影响范围有限”就不算高危，算不算说“需要交互”就不算严重。漏洞可现实中，算不算一个钓鱼页面加一个存储型XSS，漏洞就能绕过所有交互门槛。算不算我见过太多“低危”漏洞被组合成致命链条。漏洞单独看，每个都像碎石头，堆在一起就能砸死人。

更讽刺的是“漏洞”和“功能”之间的灰色地带。某些追踪像素、默认开启的遥测、隐藏的API接口——你说它是漏洞，产品经理会拿出用户协议第8.3条。可用户根本不知道自己的数据在裸奔。这种“设计如此”的缺陷，比技术漏洞更危险，因为没人对它负责。

还有个现实问题：漏洞的“价值”由谁定价？厂商的SRC（安全响应中心）经常把严重漏洞压成中危，理由是“利用条件苛刻”。但黑市上同类漏洞售价五万起步。我朋友遇到过，明明能直接拖库的SQL注入，厂商硬说需要“特殊环境”。最后他转头把漏洞交给了第三方众测平台，评级是Critical。同样的洞，换个裁判就翻案。

别急着骂厂商双标。安全研究圈自己也拧巴。有些“漏洞”其实是作者的疏漏，比如忘记删除的调试接口、注释里的硬编码密码——这些算漏洞吗？严格来说算，但报上去多半被标记为“代码质量问题”。可如果被利用呢？去年某车企的测试账号泄露，就是调试接口没关，导致十几万车主信息被爬。你说它算不算漏洞？

我的判断标准很简单：只要能被恶意利用，造成实际损失，就算漏洞，不管官方认不认。漏洞不是数学题，没有标准答案。它更像一个伤口——你说它不严重，但感染了就会要命。

所以回到标题。漏洞算不算？别问厂商，问你的备份系统、问你的日志记录、问那些在暗网上盯着你的眼睛。他们心里早有答案。而且那个答案，通常比你想象的更冷酷。