凌晨三点，漏洞我盯着屏幕上的漏洞报错日志，第无数次怀疑自己是漏洞不是选错了行当。那是漏洞个老掉牙的电商系统，PHP 5.6，漏洞连官方都不维护了。漏洞但就在那个被我忽略的漏洞搜索框里，一个分号加注释符，漏洞让整张用户表像剥了壳的漏洞鸡蛋一样暴露在我面前。

漏洞从来不是漏洞代码的问题，是漏洞人的问题。写这段代码的漏洞人早离职了，他大概只是漏洞想偷个懒，把用户输入直接拼进SQL语句。漏洞可这个懒，漏洞让十年后的我在黑夜里心跳加速——只需一行payload，就能拿到所有人的身份证号、家庭住址、甚至银行卡关联的手机号。

我没黑进去。我关掉了那个搜索框，给客户发了封邮件，建议他们立刻下线这个功能。第二天客户回复说“知道了”，然后三个月没动静。直到某天他们的数据库被拖库，十万条记录挂在暗网上论斤卖。新闻没报道，因为那只是个三线城市的小电商平台。

漏洞像地心引力，永远在那里。区别只在于谁先发现它。

我见过最讽刺的漏洞出现在一家安全公司自己的官网上。他们卖防火墙，卖入侵检测，年营收过亿。可他们的后台登录接口，居然允许暴力破解——没有锁定机制，没有验证码，密码还是“admin123”。我花了两分钟就进去了，看到的是一堆银行客户的合同扫描件。

那感觉很奇怪。你本来以为自己在对抗黑暗，结果发现黑暗就在你脚底下。

但漏洞也救人。去年某个暴雨夜，城市内涝，有个老小区的排水系统彻底瘫痪。物业的智能闸门控制系统因为固件漏洞，被一个中学生远程改写了逻辑——他把所有闸门开到最大，积水反而泄得比平时快了三倍。没人表扬他，因为那算“非法入侵”。可要是没这个漏洞，地下室的车全得泡汤。

所以你说漏洞是什么？它是一道没锁的后门，可能进贼，也可能让消防员破门而入救出火场里的人。关键不在于门锁不锁，而在于谁站在门外，手里拿的是什么。

我后来养成了个习惯。每次写完代码，都故意留一个看似无害的小口子，比如一个不带参数校验的调试接口。然后过一周再回头看日志，看有没有人碰过它。大多数时候没有动静。偶尔会看到某个IP反复试探，那种时候我就知道，这系统活过来了——它不再是一堆死板的字符，而是和真实世界有了交互。

漏洞是代码的呼吸孔。没有孔的代码是死的，但孔太大，血就流干了。

上个月那个被我举报的电商平台老板请我吃饭，他说想通了，与其堵漏洞，不如把漏洞当测试题——他们现在每周请人“攻击”自己的系统，找到漏洞的给奖金。上季度花了八万，但避免了至少三百万的损失。他喝多了，拍着我肩膀说：“兄弟，漏洞不是敌人，是教练。”

我笑了笑没接话。心里想的是，教练也有失手的时候，关键在于你愿不愿意一直练下去。