内容摘要：凌晨三点，我盯着屏幕上的报错日志，第无数次按下刷新键。那个该死的支付接口又超时了——不是网络问题，不是服务器负载问题，是代码里一个if条件写反了。上线前测试了二十遍，偏偏漏了用户输入“0.01元”这个

凌晨三点，漏洞我盯着屏幕上的和问报错日志，第无数次按下刷新键。漏洞那个该死的和问支付接口又超时了——不是网络问题，不是漏洞服务器负载问题，是和问代码里一个if条件写反了。上线前测试了二十遍，漏洞偏偏漏了用户输入“0.01元”这个边界值。和问系统把0.01当成了无效金额，漏洞直接跳过了整个支付流程。和问

这让我想起上周修的漏洞一个更蠢的bug。用户头像上传功能，和问明明限制了jpg和png格式，漏洞结果有人传了个webp文件，和问系统没报错，漏洞但头像显示成一片空白。查了半天，发现是后端校验文件类型时只看了扩展名，没看文件头。一个改了扩展名的txt文件就能绕过检查。你说这是漏洞还是问题？我觉得两者都是——漏洞是技术上的疏忽，问题是流程上的傲慢。我们太相信用户会按规矩来，太相信测试用例覆盖了所有可能。

但真正让我睡不着觉的，是上个月那次数据泄露。不是黑客攻击，不是sql注入，是运维同事在迁移数据库时，顺手把备份文件传到了公开的云存储桶里。权限设置错了，默认公开。整整三天，几万条用户手机号和地址挂在公网上。被发现是因为一个安全研究员闲得无聊扫了扫开放的存储桶。你说这是技术漏洞吗？不是，这是人的问题——没人检查过权限配置，没人复核过迁移步骤。安全手册写了三十页，但执行的人没看，审核的人没管。

漏洞这东西，有时候像墙上的裂缝，你盯着它看，它不会变大，但风雨一来，墙就塌了。问题则是墙里的钢筋生锈了，外表光鲜，承重能力早就打了折扣。我们总爱区分“技术债”和“流程缺陷”，但用户不管这些。他们只知道点“支付”按钮没反应，只知道头像传上去是白的，只知道自己的信息可能泄露了。

有个朋友在银行做风控，他说他们最怕的不是系统宕机，是那种“看起来正常但逻辑错误”的故障。比如某次利率计算，浮点数精度差了个0.0001，单笔交易看不出问题，但跑了一个月，账目对不上了。这种问题最难查，因为它不报错，不崩溃，就像慢性病，等发现时已经晚了。

我越来越觉得，漏洞和问题的区别没那么重要。重要的是我们怎么对待它们。是修完就忘，还是追根溯源？是补上这个洞，还是反思为什么会有这个洞？代码是人写的，流程是人定的，最终都是人的疏忽、懒惰或傲慢在作祟。

天快亮了。我删掉了那个写反的if条件，重新提交了代码。但我知道，下一个漏洞在某个角落等着我。或许在某个没测过的浏览器里，或许在某个没人想到的输入框里。这行当就是这样——你永远在跟自己的局限较劲。但至少，我现在会多看一眼文件头，多检查一遍权限设置，多问一句“如果用户不按套路出牌呢”。