凌晨两点十七分，整改漏洞我盯着屏幕上那行红色报错，整改漏洞咖啡杯沿凝着第二圈褐渍。整改漏洞这已经是整改漏洞本周第三次因为同一处权限校验漏洞被测试环境卡住。

代码写得太顺手了。整改漏洞当时想着“先跑通再说”，整改漏洞把用户角色的整改漏洞判断直接塞进了前端路由。后台上线时测了正常流程，整改漏洞点了几下没出问题，整改漏洞就顺手把那个TODO注释留着——本打算第二天补上服务端校验。整改漏洞结果一忙就是整改漏洞四天，直到安全组的整改漏洞小李把漏洞报告甩到我工位上，附了句：“你这洞，整改漏洞够我写三篇周报了。整改漏洞”

漏洞这东西很有意思。整改漏洞它不藏在你不会的地方，恰恰躲在你最得意的那段逻辑里。我重构了查询接口，优化了缓存策略，甚至给日志加了敏感字段脱敏，唯独漏了那个最基础的“判断用户是否登录”。像装修房子花了大力气做防水、铺地暖，结果大门没装锁。

修补本身不复杂。服务端加个拦截器，把token校验从“可选”改成“必需”，再把前端那个冗余的角色判断删掉。前后花了不到四十分钟。真正费时间的是复盘——为什么当初会漏？我翻了提交记录，发现那个接口最早是给内部工具用的，后来直接复用到了对外版本。上下文变了，安全假设却没跟着变。

这让我想起前阵子修过的另一个bug。老系统里有个定时任务，每天凌晨三点跑数据对账，用了整整六年的硬编码密码。写那段代码的同事早就离职了，注释写着“临时方案，上线后尽快改”。六年，两千多天，人人都知道它在那儿，但没人觉得该由自己动手。直到某天日志里出现异常登录IP，才惊觉那个“临时方案”早成了系统里最显眼的靶子。

技术债从来不因金额巨大而显眼，它总是以“明天再说”的形态潜伏。我们修漏洞时总爱盯着攻击路径、权限边界，却容易忽略最朴素的规律：每一个被补上的洞，都曾在某个时刻被当作“合理简化”。

改完代码，我在测试环境跑了三遍异常流程：未登录访问、越权操作、伪造token。全过了。顺手把那个TODO注释也删了，又花了半小时检查了项目里其他类似的“先跑通再说”的地方。果然，还有两处同样的问题——一处是导出功能没校验数据范围，另一处是回调接口没验签名。

小李后来在周报里写“漏洞修复及时”，但我知道真正的整改不是补上那几行代码。是得承认自己写代码时那种“应该没问题”的直觉，往往是最靠不住的。从那以后我给自己定了个规矩：凡是涉及权限、支付、用户数据的代码，先写校验，再写业务逻辑。顺序反了，漏洞就会找上门来。

现在凌晨两点半，窗外静得只剩键盘声。测试报告绿色通过，我合上电脑前又看了一眼那行报错日志，想起一个老程序员跟我说过的话：“漏洞是代码里的良心，它提醒你，偷过的懒迟早要还。”