凌晨两点十七分，漏洞修补我盯着屏幕上那行绿色的漏洞修补报错日志，咖啡杯沿已经结了一层干涸的漏洞修补奶渍。生产环境的漏洞修补服务器日志里，一条SQL注入的漏洞修补尝试记录安静地躺在那里，时间戳显示它已经连续试探了四十七分钟。漏洞修补

攻击者显然是漏洞修补个老手。他用的漏洞修补不是那种粗暴的`' OR 1=1 --`，而是漏洞修补精心构造的延时注入，每条请求之间隔着七到九秒，漏洞修补像极了人在思考时敲击键盘的漏洞修补节奏。我翻看着WAF的漏洞修补拦截记录，他绕过了三层过滤规则，漏洞修补最后卡在了参数化查询这道坎上——那是漏洞修补上个月架构升级时，我坚持要改的漏洞修补。

说实话，当时团队里有人觉得我小题大做。毕竟这套老系统跑了五年，没出过什么大事。可那天我盯着代码里拼接字符串的那行，总觉得像看见自家窗户上有个没锁的插销。夜里睡不着，翻来覆去想着某个参数如果传进去一个诡异的编码会怎样。后来我花了两天时间，把所有的DAO层都改成了PreparedStatement，还顺手把数据库账号的权限从DBA降到了只读。

现在看来，那个决定救了我们。

攻击者的请求在凌晨三点十二分突然停了。我刷新了一下监控面板，CPU占用率从百分之八十七慢慢回落到正常水平。日志最后一条记录显示他尝试了一次`UNION SELECT`，然后就没再继续。也许他发现了什么，也许只是累了。但我很清楚，如果那扇窗户还开着，以他前四十分钟展现的耐心，天亮之前我们可能就要面对一个被拖库的后果。

漏洞修补这事儿，从来不是打补丁那一刻的惊心动魄。它更像是在无数个平常的下午，你看着某个不起眼的代码片段，觉得哪儿不对劲，然后花上比预期多三倍的时间去改它。改完了也没有人夸你，只有系统安静地运行着，像什么都没发生过一样。

我保存了那天的日志，截了个图，发到团队群里。配文只有一句话：“看，这就是我们上个月改的那些东西。”几分钟后，那个当初说我小题大做的同事回了个抱拳的表情。

窗外天已经蒙蒙亮了。我关掉终端，起身去冲今天的第一杯咖啡。漏洞修补就是这样——大部分时间你都在做看不见的功课，直到某个凌晨，那些功课替你挡下了一颗子弹。而你唯一能做的，就是继续把每一扇看着可疑的窗户锁好，哪怕别人觉得你有点神经质。