凌晨三点，修补漏洞我还在盯着那行报错的修补漏洞代码。日志文件里躺着一串十六进制地址，修补漏洞像犯罪现场留下的修补漏洞脚印——某个恶意脚本正试图通过上传接口潜入系统。这已经是修补漏洞本周第三次了。前两次我修了参数校验，修补漏洞加了白名单，修补漏洞但对方总能找到新的修补漏洞缝隙钻进来。

说实话，修补漏洞我很烦。修补漏洞不是修补漏洞烦攻击者，是修补漏洞烦自己。每次修补漏洞都像在打地鼠，修补漏洞刚按下一个，修补漏洞另一个又冒出来。修补漏洞同事老周说我太较真，反正公司数据不值钱，被黑就被黑呗。可我不这么想，漏洞这东西，跟牙洞一样，你不补，它就烂到神经。

这次的洞藏得更深。攻击者利用的是PHP的反序列化机制——一个老得掉渣的特性。他们把恶意对象编码成字符串，塞进cookie里，服务器一解析，就成了他们想要的类实例。我翻了三年前写的框架代码，发现自己当初为了省事，直接用了`unserialize`而没有做任何过滤。那是刚入职时写的，当时觉得“谁会那么无聊攻击我们这种小破站”。

现在我知道了，会。而且很会。

补这个洞需要改底层逻辑，风险不小。我犹豫过要不要直接封掉那个接口，反正业务上用得少。但转念一想，这就像家里门锁坏了，你不能因为小偷只光顾厨房就永远锁着厨房门——你还要做饭呢。于是我开始重写那段代码，用了JSON格式替代原生序列化，加上了类型白名单和长度限制。测试环境跑了一遍，没问题。部署到线上，又盯了半小时日志，确认没有异常请求。

凌晨五点，天快亮了。我泡了杯速溶咖啡，靠在椅背上想：漏洞永远补不完，但每一次修补都让系统更结实一点。就像人的免疫系统，经历过一次感染，就多一层记忆。我不指望彻底安全，那是个伪命题。我只希望下次对方再来的时候，能多费点力气。

咖啡喝完了，我准备关电脑。突然，监控面板上跳出一条警告——来自另一个IP的扫描请求。我笑了，把椅子拉回桌前。

来吧，反正我还没困。