我盯了那个报错页面足足三分钟。网站低危404、网站低危500、网站低危参数错误，网站低危三个漏洞排成一排躺在漏洞报告里，网站低危等级全是网站低危“低危”。开发小哥挠着头说，网站低危这玩意儿又不影响用户，网站低危修不修都行。网站低危

他说得没错。网站低危可我想起上个月某家银行的网站低危事——一个“低危”的验证码接口被人刷了三个月，最后成了撞库的网站低危跳板。那家银行把漏洞定级为“低危”，网站低危运维看了眼报告，网站低危顺手关了工单。网站低危谁也没想到，这个没人理的接口，后来成了整个系统的后门。

低危的意思，不是“没有危险”，而是“目前看不出危险”。这中间的差别，就像天气预报说“局部有雨”和“晴转多云”——你带伞出门，总归不会亏。

我见过太多网站死在不疼不痒的小问题上。某个电商平台，商品详情页有个XSS漏洞，危害评级“低”。攻击者只能在页面里弹个窗，影响面极小。可后来有人发现，这个弹窗能带出用户的登录态cookie，配合另一个“低危”的CSRF，直接就能改密码。两个低危叠在一起，变成了高危。

这就像你家门锁。锁芯完好，但猫眼是松的——单独看，猫眼松了不算什么。可要是小偷带根铁丝，从猫眼伸进去拨开门把手，门就开了。你说，猫眼算不算安全漏洞？

网站的低危漏洞，往往藏在最不起眼的角落。比如那个报错页面，泄露了服务器版本号。攻击者知道你在跑Apache 2.2，就知道你可能有哪些已知漏洞，省去了一大半扫描时间。再比如某个API接口没做频率限制，一般人觉得“谁会闲着没事刷这个”，可爬虫会，竞争对手会，黑客也会。

说句实话，很多公司把漏洞定级定得那么低，不是技术判断，是成本判断。修漏洞要排期、要测试、要发版，还影响KPI。可安全这东西，从来不是“修完就完事”，而是“不修迟早出事”。

我认识一个安全工程师，他有个习惯：每次上线前，把所有低危漏洞列个清单，发给产品经理。产品经理看完总问“能不能下个版本再修”。他说行，然后自己偷偷在后台盯着。盯了半年，还真让他逮到一次——某个“低危”的越权访问，被一个刚入职的实习生误打误撞触发了。要不是他提前加了日志监控，这次越权能拖到什么时候，谁也不知道。

低危漏洞就像牙缝里的肉丝。你不剔，它不会立刻让你疼。可放久了，它会变成牙结石，再变成牙周炎。等到你疼得受不了去看牙医，医生只能说：“早干嘛去了？”

网站也是。别等到数据泄露了、用户投诉了、监管部门上门了，才想起当初那个被关掉的工单。到那时候，低危就不是低危了，是事故。

所以我现在看到“低危”两个字，都会多看两眼。不是矫情，是被坑怕了。毕竟，安全这行最贵的不是修复成本，是侥幸心理。