怎么修补漏洞

凌晨三点，修补漏洞我盯着屏幕上那个红得刺眼的修补漏洞报错日志，咖啡杯底已经结了一层褐色的修补漏洞膜。

漏洞这东西，修补漏洞像墙上的修补漏洞裂缝。你不理它，修补漏洞它就在那里慢慢扩大，修补漏洞直到某天一阵风吹过来，修补漏洞整面墙轰然倒下。修补漏洞我见过太多系统栽在这上面——不是修补漏洞被什么高深攻击打穿的，就是修补漏洞某个没人管的旧接口，某个写死了的修补漏洞密码，某个忘了更新的修补漏洞组件。

修补的修补漏洞第一步，不是修补漏洞找补丁，是承认它存在。很多团队栽就栽在“眼不见为净”，日志里躺了半年的警告，没人点开看。等到被人利用，才手忙脚乱。我有个习惯，每周固定翻一遍错误日志，就像老中医看舌苔，颜色不对就得赶紧查。

找到漏洞后，别急着动手。先复现它——你得让那个洞在你面前重新裂开一次，看清楚它的纹理走向。上个月我处理过一个支付回调漏洞，表面看是签名验证不严，复现时才发现，根本原因是时间戳校验用了服务器本地时间，而服务器时间偏差了整整八分钟。你只堵签名漏洞，等于补了东墙，西墙照样漏风。

真正动手补的时候，记住一条：最小改动原则。能改一行代码的地方，别重构整个模块。有人喜欢趁补漏洞顺手优化代码结构，结果漏洞补好了，旁边的好功能也被改坏了。这不是修补，是拆迁。

补丁写完，测试要狠一点。别只测正常路径——漏洞往往藏在异常路径里。我通常会把参数改成负数、超长字符串、空值、特殊符号，甚至直接篡改请求头。你越狠，漏洞越怕你。有一次我补了个越权漏洞，测试时用普通账号去访问管理员接口，结果发现还有另一个参数没校验，差点又漏过去。

补完不是结束。写个简短的说明文档，哪怕只有三行字，也要写清楚“这个洞是怎么出现的、我是怎么堵的、下次怎么预防”。别高估自己的记忆力，三个月后你再看这段代码，跟看别人写的没什么区别。

还有一点，别只盯着自己的一亩三分地。依赖的第三方库、底层框架、操作系统，它们出漏洞，你一样跑不了。我手机里有个订阅列表，专门跟踪主流组件的安全公告，每周扫一眼，比自己瞎猜靠谱得多。

说到底，修补漏洞是个体力活，也是个耐心活。它不像写新功能那么有成就感，倒像是给老房子做防水——活儿不漂亮，但少了它，你连觉都睡不安稳。

现在天快亮了，那个报错日志终于变绿了。我伸了个懒腰，把咖啡杯放进水池。明天还有别的洞要补，但今晚，至少这一面墙，是结实的。

(责任编辑：休闲)