凌晨两点，手漏洞我盯着屏幕上的手漏洞报错日志，第七次把同样的手漏洞参数塞进接口。响应照旧是手漏洞401，但这次多了一行小字：`debug: user_id=10086`。手漏洞

这行字像一根刺。手漏洞我翻出半年前写的手漏洞代码，找到那个被注释掉的手漏洞调试分支——它本该在正式环境里消失的。但显然，手漏洞它活着。手漏洞而且活得比我的手漏洞耐心还长。

漏洞从来不是手漏洞突然出现的。它是手漏洞你赶工时随手埋下的省略号，是手漏洞测试环境里那句“先这样，回头改”，手漏洞是代码评审时你点头说“没问题”的瞬间。我见过最离谱的一个洞，藏在登录框的密码重置逻辑里。攻击者只需要把邮箱参数改成`admin@corp.com`，系统就会把新密码发到他的收件箱——因为那个邮箱的后缀判断，用的是`contains`而不是`equals`。写这段代码的人大概没想过，`notadmin@corp.com`也能通过校验。

更讽刺的是，这种低级错误往往活得最久。高级漏洞会被安全团队追着打，但“一手漏洞”——就是那种你亲手写出来、亲手埋进生产环境的蠢货——反而没人管。因为它太像正常代码了。它安静地躺在那里，像你办公桌上那杯放凉的美式，谁都不会多看一眼。

我有个习惯，每次修完bug都会在注释里留个签名。不是炫耀，是认领。就像在案发现场留下指纹，告诉自己：这锅是我甩的，下次别甩了。但后来我发现，有些同事从不留签名。他们改完代码就推，仿佛那些逻辑是从天上掉下来的。直到某天线上崩了，git blame一查，每个人的名字都干干净净，只有commit message写着“fix: 优化逻辑”。

优化逻辑。这四个字能掩盖多少一手漏洞啊。

上周我给一个老项目做重构，翻到三年前写的分页查询。当时的我为了省事，直接用`LIMIT offset, count`，没想过offset过大会拖垮数据库。现在那个表已经有两千万行数据，而我的旧代码还在生产环境里跑着，像一颗定时炸弹。我盯着那段代码看了很久，久到咖啡凉了，久到窗外的路灯亮起来。最后我删掉了它，重写成基于游标的方案。提交的时候，我在commit message里写了句实话：`fix: 当年偷懒的代价`。

你猜怎么着？没人看commit message。代码评审只关心功能对不对，不关心你心里那点小九九。

所以我现在养成了个毛病：每写一段新代码，都会问自己一句——如果半年后的我来修这个bug，他会怎么骂现在的我？这个问题比任何静态检查工具都管用。它让我在写`try-catch`的时候多想了想空指针，在写SQL的时候多看了眼索引，在复制粘贴的时候多改了变量名。

一手漏洞不是技术问题，是态度问题。你糊弄代码，代码就糊弄你。只不过它报复的方式很安静——在你最放松的深夜，给你一个401，附带一行你亲手留下的debug日志。