防止小隐患变成大漏洞

去年冬天，防止我们小区换了新物业。小隐新来的患变电工老陈第一次巡检就发现三号楼地下室配电箱里有个螺丝松了，铜片微微发黑。漏洞他拍了照发到工作群，防止说“得赶紧紧一下，小隐不然接触电阻变大，患变发热烧起来就是漏洞大事”。当时群里没人回他。防止三天后，小隐那个配电箱冒了烟，患变整栋楼停电六小时。漏洞事后查原因，防止就是小隐那颗螺丝。老陈后来跟我聊，患变点了一根烟说：“我干了二十年电工，最怕的不是大故障，是没人把小毛病当回事。”

小隐患的可怕之处在于它太安静了。它不会像起火、爆炸那样吼叫着冲过来，它只是蹲在角落里，一天天慢慢长大。一颗松动的螺丝、一行没校验的代码、一句“应该没事吧”的侥幸——这些东西单独看都微不足道，但它们是会繁殖的。物理世界里，接触电阻增大导致温度升高，温度升高加速氧化，氧化又让电阻更大，正反馈循环几周就能烧穿绝缘层。数字世界里，一个未过滤的输入参数可能只是让页面显示错乱，但攻击者顺着它摸到数据库，整站数据就没了。隐患从不单独行动，它总是拉帮结派。

我见过最典型的例子是一家小电商公司的后台。技术负责人图省事，把测试环境的数据库密码设成了“123456”，还跟生产环境用了同一个。他觉得“反正外网访问不到”。结果某天一个实习生用公司WiFi连测试库导数据，笔记本中了挖矿木马，木马扫内网，顺手就把生产库拖了。客户姓名、电话、地址全泄露。事后复盘，所有环节都指向那个“123456”。你说这是技术问题吗？是，但更是心态问题——总觉得“小事一桩”。

为什么人容易放过小隐患？因为大脑天生对缓慢、模糊、概率性的威胁不敏感。你看到地上有滩水，会绕开；但看到墙角有块墙皮鼓起来，可能一年都不会去管它。可墙皮鼓起来是因为里面渗水，渗水是因为外墙裂缝，裂缝是因为地基沉降——等墙皮掉下来砸到人，你才发现每一步都有信号。安全领域有个“海因里希法则”：一起重大事故背后，有29起轻微事故、300起未遂先兆。那些先兆就是小隐患。它们不是没说话，是我们没在听。

怎么才能听见？得靠笨办法。老陈后来在配电箱旁边贴了张纸，写着“每周一紧，拍照打卡”。物业经理嫌麻烦，老陈说：“你不用懂电，你就看螺丝有没有画线对齐。”他用记号笔在每个螺丝和底座上画了条直线，只要线错位了，就说明松了。这个办法土得掉渣，但管用。数字世界也一样，代码提交前强制跑一遍静态扫描，服务器日志每天花十分钟翻翻异常关键词，防火墙规则每季度清理一次过期条目——都是琐碎活，但琐碎活才是防大漏洞的底料。

还有个更根本的事：得让说“小问题”的人不觉得丢脸。很多团队里，谁报告一个“螺丝松了”级别的问题，会被认为小题大做。这种氛围最要命。我认识一个运维主管，他在团队里设了个“最小隐患奖”，谁发现并修掉一个看起来“不值一提”的问题，就奖励一杯奶茶。结果半年内他们线上故障率降了七成。他说：“大漏洞都是小隐患攒出来的，你鼓励抓小，大就没机会长出来。”

说到底，防止小隐患变成大漏洞，靠的不是什么高级工具或复杂流程。靠的是有人愿意蹲下来看那颗螺丝，并且相信它真的会出事。老陈那天抽完烟，把烟头摁灭在铁皮垃圾桶上，说：“电这东西，你糊弄它一时，它糊弄你一世。”这话搁在代码、流程、管理上，都一样。