内容摘要：去年冬天，一位做渗透测试的朋友给我看了份报告。某款号称“军工级加密”的智能门锁，被他用一块橡皮泥拓下指纹，再用导电硅胶翻模，三分钟就打开了。厂商的漏洞赏金？给了五百块，还要求签保密协议。他笑着把报告扔

去年冬天，安全一位做渗透测试的无漏朋友给我看了份报告。某款号称“军工级加密”的安全智能门锁，被他用一块橡皮泥拓下指纹，无漏再用导电硅胶翻模，安全三分钟就打开了。无漏厂商的安全漏洞赏金？给了五百块，还要求签保密协议。无漏他笑着把报告扔进碎纸机，安全说这行干久了，无漏看见“安全无漏洞”四个字就想笑。安全

漏洞这东西，无漏从来不是安全技术问题，是无漏时间问题。任何系统只要还在迭代，安全就一定有未被发现的裂缝。区别只在于，有人拿它换钱，有人拿它换命。

我住的小区去年换了人脸识别门禁。物业说“绝对安全，活体检测”。结果呢？有次我拎着两大袋菜，脸被塑料袋挡了一半，门照样开了。后来才知道，所谓活体检测就是让你眨眨眼——录段视频就能骗过去。更荒诞的是，后台数据库里存着所有业主的照片，明文，没加密。物业经理的原话是：“加密了多麻烦，万一系统崩了还得找人恢复。”

安全圈有个笑话：最坚固的堡垒，往往从内部被攻破。但现实比笑话更冷——很多堡垒压根就没建墙，只是挂了块“内有恶犬”的牌子。

前阵子帮一个创业公司看他们的支付接口。代码写得挺漂亮，用了最新的框架，日志也规范。但我在测试环境里发现个问题：他们的测试数据库和线上库用的是同一套密钥。问开发，他说“方便同步数据”。我说万一测试环境被拖库呢？他愣了下，说“谁会攻击测试环境啊”。

三天后，他们的测试服务器被挖矿木马占了。攻击者没碰用户数据，就单纯挖了半个月门罗币。创始人打电话来，声音都在抖：“我们连测试环境都没设防火墙。”

安全不是买套WAF、装个杀毒软件就完事的。它更像一种习惯，一种随时觉得“哪里不对劲”的直觉。我见过最靠谱的安全工程师，是个四十多岁的大姐。她每次部署新服务，第一件事是把默认端口全改掉，第二件事是给所有日志加时间戳。她说：“我不信任何‘默认安全’的鬼话。默认就是给懒人挖的坑。”

这话糙，理不糙。很多漏洞的根源，不是攻击者太强，是防御者太懒。懒得改默认密码，懒得打补丁，懒得做输入校验。等到出事，再花十倍力气去补救。

但话说回来，追求“无漏洞”本身就是个伪命题。你堵住SQL注入，可能冒出反序列化；修好反序列化，又发现供应链投毒。安全是个动态平衡，不是静态终点。真正的安全，是承认自己会犯错，然后给每个错误留好缓冲——比如最小权限原则，比如纵深防御，比如出事能快速回滚。

那个渗透测试的朋友后来转行了，去做了安全培训。他第一堂课就问学员：“你们觉得自己写的代码有漏洞吗？”没人举手。他放了段自己攻破某银行系统的录屏，教室安静得能听见空调声。下课有个小伙子追出来问：“老师，怎么才能写出没漏洞的代码？”他拍拍对方肩膀：“先承认你写不出来。”

承认脆弱，才是安全的起点。那些拍胸脯说“绝对没问题”的，要么是骗子，要么是还没被盯上的猎物。