内容摘要：凌晨两点，我盯着屏幕上那个报错代码，后背发凉。不是程序崩了，恰恰相反——它运行得太过顺畅，顺畅到让一个本该拦截非法输入的验证模块，像空气一样透明。 这是个购物网站的后台。用户注册时填手机号，前端做了格

凌晨两点，明显漏洞我盯着屏幕上那个报错代码，明显漏洞后背发凉。明显漏洞不是明显漏洞程序崩了，恰恰相反——它运行得太过顺畅，明显漏洞顺畅到让一个本该拦截非法输入的明显漏洞验证模块，像空气一样透明。明显漏洞

这是明显漏洞个购物网站的后台。用户注册时填手机号，明显漏洞前端做了格式校验，明显漏洞后端又做了一遍。明显漏洞看起来天衣无缝，明显漏洞对吧？明显漏洞可我把请求包改了改，往手机号字段里塞了段SQL语句，明显漏洞服务器居然照单全收，明显漏洞还回了我一个管理员身份的会话令牌。那一刻我明白，这网站不是有漏洞，是漏洞上长了堆代码。

最讽刺的是，他们的安全文档写得比《战争与和平》还厚。什么防火墙策略、入侵检测系统、定期渗透测试，条目列得清清楚楚。可实际部署呢？防火墙规则写错了网段，等于没穿裤子就出门；入侵检测系统倒是开着，但告警日志已经积了三个月没人看——因为误报太多，运维干脆把通知邮件设成了垃圾邮件。你说这算不算一种自我安慰式安全？

后来我跟他们的技术总监聊，他一脸委屈：“我们每次上线都做了测试啊。”是做了，测的全是正常流程。注册、登录、下单、支付，每一步都走得顺顺当当。可没人想过，如果用户在地址栏里输入的不是地址，而是段脚本呢？如果商品数量填的是负数呢？没人测过，因为测试用例是产品经理写的，他只会点鼠标。

这让我想起以前租房时碰到的那个门锁。房东说这是智能锁，能指纹能密码，还带远程报警。结果有次我忘带钥匙，找了开锁师傅，人家拿张塑料卡片，三秒就捅开了。智能锁的报警功能确实触发了——它给房东手机发了条推送，可房东当时在打麻将，看了一眼以为又是误报，随手划掉了。你看，再聪明的锁，也防不住一个习惯性忽略提醒的人。

代码里的漏洞往往不是技术问题，是人的问题。开发者相信“别人会检查”，测试者相信“开发写对了”，管理者相信“流程没问题”。每个人都觉得漏洞在别处，于是漏洞就真的出现在每个角落。那些被忽视的异常分支、被跳过的边界条件、被注释掉的错误处理，全在暗处发酵，等着某个失眠的夜晚，有人往URL里多敲一个引号。

修补这个漏洞花了三分钟——把参数化查询加上就行。可真正难补的漏洞，在团队每个人的脑子里。他们习惯了流程顺畅时的歌舞升平，却忘了代码世界里，最危险的地方永远是那些看起来没必要检查的地方。就像我那个粗心的室友，总把银行卡密码写在便利贴上，再粘在显示器边框。他说：“反正办公室有监控。”对，监控确实开着，但保安夜里值班时，多半在刷短视频。

天亮时我关掉电脑，给那个技术总监发了条消息：“建议你们下次做安全测试，别用测试用例，直接找个人，让他想尽办法搞破坏。”他回了个笑脸，说好。可我知道，明天他大概又要去开那个“如何提升用户体验”的周会了。漏洞还在那儿，安安静静地，等着下一个睡不着的人。