凌晨两点十七分，出漏洞我盯着屏幕上那行红色报错，出漏洞咖啡杯沿的出漏洞指纹已经干成了白圈。测试环境里那个本该显示用户昵称的出漏洞位置，此刻挂着一串乱码——像有人往数据库里泼了杯墨汁。出漏洞

这不是出漏洞第一次了。上周三，出漏洞隔壁组上线新功能，出漏洞凌晨三点回滚，出漏洞群里的出漏洞消息刷得飞快：“谁动了缓存？”“先别查了，直接切旧版本。出漏洞”第二天晨会，出漏洞负责的出漏洞小伙子顶着黑眼圈说：“就是少判了一个空值。”少判一个空值，出漏洞听起来像考试漏了一道选择题，出漏洞可它让两万用户看到了别人家的购物车。

漏洞这东西，你越怕它，它越来劲。我见过最离谱的一次，是某支付接口把金额单位搞混了，分和元差了整整一百倍。测试用例全过了，因为测试数据恰好是整数。生产环境第一笔真实交易，用户充值一分钱，账户到账一块。那哥们儿愣是充了三百多次，把视频网站会员续到了下辈子。事后复盘，开发在代码注释里写着“此处单位为元”，测试看的是“金额字段”，产品文档写的是“以分为单位”——三方各说各话，像极了那个“三个和尚”的故事。

出漏洞不可怕，可怕的是修漏洞的方式。有些团队喜欢打补丁，哪里破了补哪里，补丁摞补丁，代码长得像老城区的违章建筑。我见过一段判断用户权限的代码，前后改了七版，每版都留着if分支，最后那层逻辑嵌套了五层括号，读起来跟绕口令似的。新来的同事接手时，在代码评审里打了十几个问号，最后怯生生地问：“这……能重构吗？”

说真的，大部分漏洞不是技术问题，是人的问题。赶进度的时候，测试说“先上线吧，后面补”，开发说“这个边界情况应该不会发生”，产品说“用户不会那么操作的”。结果呢？用户偏偏就那么操作了。有个做电商的朋友告诉我，他们最严重的线上故障，不是服务器崩了，而是优惠券计算逻辑里有个取整函数用错了。满200减30的券，系统算出来满199.99就减了——就差了那0.01元，后台被羊毛党薅了几十万。

但我也见过另一种团队。他们有个规矩：每次出漏洞，不追责，只写复盘报告。报告里不写“某某某粗心大意”，而是写“我们的流程哪里没拦住这个问题”。他们把每次事故都当成一次免费的安全演习。去年他们上线新系统，故意在测试环境埋了三个已知漏洞，让全组人找。结果开发、测试、运维围在一起吵了整整一下午，最后发现其中一个漏洞是埋得太深，连埋的那个人自己都忘了位置。大家笑成一团，但那之后，他们的代码评审多了个环节——专门检查“这个改动会不会引入新的边界问题”。

漏洞是代码的影子，甩不掉的。你能做的，就是习惯它的存在，然后尽量让它在可控的时候冒出来。就像你家里总有个角落会积灰，你不能因为嫌脏就把房子拆了，但你得记得定期打扫，还得在打扫的时候，看看墙角有没有裂缝。

现在，凌晨两点二十三分，我找到了那个乱码的根源——一个编码格式在传输过程中被悄悄转了码。改动只有一行，但排查花了三个小时。我改完代码，重新跑测试，看着绿灯亮起，长长呼了口气。窗外的城市还亮着零星的灯，大概还有别的人也在这个点盯着屏幕，等着那一行绿色的“PASS”。

漏洞永远在下一个拐角等着你。但你知道吗？每次把它揪出来的那种感觉，就像在旧衣服口袋里摸到了忘掉的钞票——有点意外，有点庆幸，还有点后怕。

(责任编辑：知识)