内容摘要：凌晨三点，我在调试一段报错的代码。日志刷了满屏，问题却始终找不到。同事老周路过，瞟了一眼屏幕：“你查过输入框的空格校验吗？”我愣了一下，复制粘贴测试——还真是。一个没做trim()的空格，让整个系统崩

凌晨三点，抓漏我在调试一段报错的洞补短板代码。日志刷了满屏，抓漏问题却始终找不到。洞补短板同事老周路过，抓漏瞟了一眼屏幕：“你查过输入框的洞补短板空格校验吗？”我愣了一下，复制粘贴测试——还真是抓漏。一个没做trim()的洞补短板空格，让整个系统崩了三个小时。抓漏

漏洞从来不是洞补短板大张旗鼓来的。它躲在最不起眼的抓漏角落，等着你疏忽的洞补短板那一刻。

去年我们上线了一个支付系统，抓漏测试了八十多个场景，洞补短板覆盖了所有主流程。抓漏结果上线第三天，用户反馈：用“.cn”结尾的邮箱收不到验证码。排查了半天，是正则表达式只匹配了“.com”。你说这是技术问题？不，是思维漏洞——我们默认所有人都用国际邮箱，却忘了自己的产品主战场在国内。

抓漏洞这事儿，跟体检一样。真正要命的不是查出来的毛病，是那些你没想过去查的器官。我认识一个运维老哥，服务器防火墙规则写了三百多条，自认为固若金汤。结果某天被入侵了，黑客走的不是防火墙，是机房保洁阿姨的U盘——插到内网电脑上，直接绕过所有网络层防护。

他后来跟我喝酒时说了一句话：“我天天盯着墙上的裂缝，忘了门根本没锁。”

补短板更难。不是因为它技术含量高，而是因为短板往往是你最不愿意承认的地方。团队里有个开发，代码写得漂亮，文档零输出。每次他请假，别人接手他的模块就像看天书。老板找他谈话，他说：“代码就是最好的文档。”这话听着有理，但真出事的时候，没人能替他兜底——后来他离职，那个模块花了三个星期才重构完。

短板不补，它不会自己消失，只会变成你脖子上越勒越紧的绳。

我见过最会“抓漏洞”的人，反而不怎么盯代码。他盯的是流程。有一次版本上线，测试环境全绿，生产环境全红。大家慌作一团，他慢悠悠去查了配置中心——结果发现生产环境的数据库连接池最大连接数被某个实习生调成了5。这事儿该怪实习生吗？流程上根本没规定配置变更需要二次审核。漏洞不在代码里，在制度里。

抓漏洞补短板，说到底就一句话：别总盯着你看见的地方，多想想那些你没看见的地方。就像开车，老司机不只看前方，还时不时瞟一眼后视镜——那里没有风景，但有你可能忽略的危险。

系统会崩，代码会错，人会疏忽。这不丢人，丢人的是明明知道有漏洞却不补，明明看见短板还硬说“能用就行”。

补上它，哪怕补丁丑一点，也比漏着强。