去年冬天，漏洞我在一个做安全运维的文件朋友那里看到一台报废的笔记本。屏幕碎了，漏洞键盘缺了三个键，文件但硬盘还能读。漏洞他把里面的文件数据导出来之后，指着其中一个文件夹说：“你看这个。漏洞”

文件夹名字叫“漏洞”。文件里面没有病毒样本，漏洞没有exp脚本，文件只有一堆以日期命名的漏洞子文件夹，从2019年3月一直排到2023年11月。文件每个子文件夹里放着一份txt文档，漏洞记录的文件是当天他发现的某个系统漏洞——有的是公司内部OA的越权访问，有的漏洞是某个开源组件的反序列化问题，还有几条是某云服务商控制台的逻辑缺陷。每条记录末尾都有一行小字：已提交/未修复/已忽略。

我问他为什么单独建这个文件夹。他说最开始只是随手记，后来发现有些漏洞提交上去之后，厂商拖了半年一年不修，他就把原始记录留在这里。“万一哪天出了事，至少我知道自己不是没说过。”

这让我想起另一件事。2021年，某知名Java日志库爆出核弹级漏洞，全球无数服务器受影响。但早在漏洞公开前九个月，就有人在小范围邮件列表里提过这个隐患。当时没人当回事。那个邮件列表的存档后来被翻出来，大家才看到那条被淹没的提醒。它就像被扔进了一个看不见的“漏洞文件夹”，直到灾难发生才被人重新打开。

安全圈有个不成文的习惯：发现漏洞的人往往比修复漏洞的人更焦虑。你写了一份详细的报告，附上复现步骤和修复建议，发过去。对方回一句“收到，我们评估一下”。然后就没有然后了。过几周你再去问，对方说“排期比较靠后”。再过几个月，你发现那个漏洞还在，甚至被其他人也发现了，公开了，上了热搜。这时候厂商才连夜发补丁。

那个文件夹里的记录，本质上是一种民间档案。它不正式，不完整，甚至有点偏执。但它真实。每一行日期背后都是一个具体的人，花了一个下午或者一个通宵，对着屏幕调试、抓包、写poc。然后他做了他认为对的事——告诉厂商。厂商没理他。他就把这件事放进文件夹，继续过自己的日子。

我后来自己也建了一个类似的文件夹。不光是漏洞，还有一些“说了也没用”的产品建议、设计缺陷、流程问题。有一次我翻回去看，发现两年前提的一个接口鉴权问题，至今还在。那个系统还在跑，用户还在用。没人出事，只是因为没人去攻击它。但这不代表问题不存在。

文件夹不会自动修复任何东西。它只是让你在某个深夜翻看的时候，能对自己说一句：我当时看到了，我说了。至于别人听没听，那是别人的事。

有些漏洞补上了，有些永远补不上。文件夹还在那里，日期还在增加。