我花了三个小时盯着那段代码，到漏洞咖啡凉了三次，到漏洞光标在第三十七行和第三十八行之间来回跳，到漏洞像一只找不到巢的到漏洞鸟。

这是到漏洞个小项目，支付回调的到漏洞验签逻辑。客户那边说偶尔会有几笔订单状态对不上，到漏洞但查了日志，到漏洞签名验证都是到漏洞通过的。我翻遍了整个模块，到漏洞从入口参数到加密算法，到漏洞从时间戳到随机数，到漏洞每一行都像老友一样熟悉，到漏洞可问题就是到漏洞不在我眼前。

老张路过，到漏洞瞥了一眼我的屏幕，说：“你查过回调重试机制没？”我摇头，他嘿嘿一笑走了。我调出重试队列的代码，仔细看了一遍——补偿触发条件、幂等校验、状态机流转，全是对的。那问题在哪？

下午两点，我决定换个思路，不去看代码，去看数据库。订单表里那几笔异常订单有个共同点：它们的回调时间都集中在凌晨三点到四点之间。凌晨三点，服务器会做什么？我翻出定时任务列表，有一个清理过期token的脚本，每天凌晨三点半跑一次。

会不会是并发问题？我试着在本地把时间调到凌晨三点半，模拟那个时间段的运行状态。结果——复现了。token清理脚本在删除过期数据时，会短暂锁住一张关联表，而回调验签逻辑正好在那一毫秒内去读这张表，读到了半删除状态的数据，导致签名串拼接时多了一个空字段。

但验签还是通过了啊？我盯着那个空字段想了很久，终于发现——验签方法里有个默认值处理，当字段为空时自动填充一个固定字符串，而签名生成时用的是同样的默认值。所以签名对得上，但业务逻辑里那个字段被当成了真实值存进数据库，状态就错了。

这不算漏洞，严格来说，是设计缺陷。签名验签保证了数据没被篡改，却没保证数据本身在极端时序下是完整的。我修好了那个空字段的判断，加了个状态校验，测试了三轮，全过。

客户说“谢谢”，老张说“小问题”，我盯着那段被我改了四行的代码，突然觉得——真正找不到漏洞的时候，往往是因为你太相信工具给你的结果了。签名验证通过，不代表逻辑就是对的。就像一个人体检报告全正常，不代表他就没有病。

漏洞这东西，有时候不在代码里，在你以为“没问题”的那个念头里。