昨天下午，安全同事老李的提示电脑屏幕突然弹出一行红字：“安全提示：URL中存在不允许出现的敏感字。”他愣了三秒，存不出现然后骂了一句脏话。允许原因很简单，感字他正在给一家客户做产品页面，安全链接里带了个“促销”的提示拼音缩写“cuxiao”，结果被系统拦了。存不出现这年头，允许连“促销”都成了敏感词，感字真是安全让人哭笑不得。

这事其实不新鲜。提示很多企业的存不出现内部安全系统，用的允许是一套固定的关键词库，里面躺着各种你意想不到的感字词汇——有些是政治敏感，有些是商业违规，还有些纯粹是技术误伤。比如“打折”“秒杀”“极限词”这类词，在电商链接里出现，系统就会毫不留情地拦截。可问题是，这些词在业务场景里再正常不过了。你卖东西，不写“促销”写什么？写“优惠”就能过？未必，得看系统的词库更新到哪一版。

我见过更离谱的。有个做外贸的朋友，产品链接里带了个“bang”，因为某个品牌名里有这个词，结果被系统判定为“爆炸物相关”。他当时就懵了，那是个卖灯具的，跟爆炸物八竿子打不着。后来他学聪明了，把链接里的英文全部改成小写，再穿插几个数字，总算蒙混过关。但问题来了——这种“绕过”操作，本身就是对安全系统的嘲讽。你设了规则，人家就找漏洞，猫鼠游戏永远玩不完。

说到底，这类安全提示的初衷是好的，防止有人利用URL传播恶意内容或者违规信息。可现实是，词库的构建往往一刀切，缺少上下文理解。系统只看字符，不看语境。你把“恐怖”这个词放在电影推荐链接里，和放在某个极端组织宣传页里，性质完全不同。但机器不管，它只认字面。

更麻烦的是，这种拦截还会误伤内部员工的工作效率。老李那天下午，为了改一个链接，前前后后折腾了四十分钟。他把“cuxiao”改成“cu-xiao”，不行；改成“c_xiao”，还是不行；最后换成“promotion”，系统总算放行。可他客户那边看不懂英文，又得重新沟通。一来二去，本来半小时能搞定的事，拖了一下午。

我倒是觉得，安全系统应该学学人话。不是让你真的理解语义，但至少可以加个白名单机制——对于内部信任的域名或特定业务场景，适当放宽限制。或者，在拦截时给出更明确的提示，告诉用户具体是哪个词触发了规则，而不是笼统地来一句“存在敏感字”。你猜谜呢？

当然，也有人会说，这是为了合规，宁可错杀一千，不可放过一个。这话听着有道理，可真出了事，系统并不会替你背锅。最后挨骂的还是干活的员工。所以，与其让系统在那儿草木皆兵，不如把规则设计得聪明点。至少，别让“促销”这种词，成了业务路上的绊脚石。