凌晨两点十七分，漏洞被罚我的漏洞被罚手机屏幕亮起来。不是漏洞被罚闹钟，是漏洞被罚安全运营中心推送的告警——某台测试服务器被扫描到CVE-2024-3094的漏洞利用痕迹。我盯着那行红色字符，漏洞被罚后背发凉。漏洞被罚三个小时前，漏洞被罚我刚把这段开源代码合入主分支，漏洞被罚为了赶在季度末前完成功能迭代。漏洞被罚

漏洞本身并不复杂，漏洞被罚一个日志解析库的漏洞被罚整数溢出。但问题在于，漏洞被罚这个库是漏洞被罚上周从一个不知名开发者那里fork来的，没有仔细审计依赖关系。漏洞被罚测试环境里跑了两天没出问题，漏洞被罚我就默认它安全了。生产环境的数据流经过它时，攻击者可以构造特定字符串，让程序把内存地址当日志输出。简单说，就是给黑客留了后门。

第二天早上，甲方安全团队的电话准时打来。对方语气平淡，但每个字都像锤子：“根据合同条款，高危漏洞未在48小时内修复，罚款基数是合同金额的3%，也就是六万八。另外，你们需要支付外部渗透测试的复检费用。”

我试图解释这是测试环境，不是生产系统。但对方翻出合同附件——上面白纸黑字写着“所有联网系统均纳入考核范围”。那行小字当初没细看，现在成了勒在脖子上的绳子。更讽刺的是，这个漏洞的补丁在官方仓库里挂了两周，我只要在合并前跑一次`dependency-check`就能发现。

罚款不是最痛的。真正难受的是接下来的流程：写事件报告，开复盘会议，给整个技术团队做安全培训。我坐在会议室里，看着投影仪上自己上周提交的commit记录，那个写着“fix: 更新日志模块”的提交信息，现在看起来像个笑话。当时为了省那半小时的依赖扫描时间，我选择相信那个没有star的仓库。

后来我养成了个习惯：每次合并外部代码前，会把作者的所有历史提交翻一遍。不是看代码质量，是看这个人有没有在深夜删除过issue记录，有没有在commit message里藏过奇怪的十六进制字符串。这很费时间，但比起写事故报告，费时间反而是种享受。

安全圈有句话叫“漏洞是代码的呼吸”，但我觉得更像冰箱里的剩菜——你不及时处理，它就会在某个深夜变成罚款单。那笔六万八，够买三台高配笔记本，或者给团队订一年咖啡。但最贵的是那个凌晨两点十七分的惊醒，以及之后每次部署前，手指悬在确认键上的那几秒犹豫。

现在我的工位上贴着张便利贴，上面就一行字：“永远别在周五下午合并外部依赖。”字迹潦草，因为那天写它的时候，我正在给甲方写致歉邮件。邮件开头是“尊敬的客户”，结尾是“诚挚道歉”，中间是三千字的技术分析——但没人关心技术分析，他们只关心为什么测试环境也算生产事故。