漏洞扫描器扫完一台服务器，漏洞报告里列了47个漏洞，扫描按CVSS评分从高到低排得整整齐齐。提供运维老张盯着屏幕看了半天，下项问我：“这玩意儿能告诉我先修哪个吗？服务”我说不能。他又问：“那它能帮我直接把这个漏洞堵上吗？漏洞”我说也不能。老张把报告往桌上一拍：“那我要它干嘛？扫描”

这个问题问到了根子上。漏洞扫描本质上只做一件事：识别。提供它像个拿着清单的下项安检员，挨个对照已知的服务漏洞特征库，匹配上了就标记出来。漏洞至于这个漏洞在你的扫描业务环境里到底有多大风险、攻击者会不会真的提供利用它、修它要花多少人力——扫描器一概不管，下项也管不了。服务

很多人以为买了扫描器就等于有了安全。实际情况是，扫描器给出的结果经常让人哭笑不得。我见过一个案例，某企业内网扫描报告里标红了一个“Apache Struts2远程代码执行漏洞”，风险等级“紧急”。安全团队连夜排查，最后发现那台机器上的Struts2版本确实受影响，但那个应用三年前就下线了，端口根本没对外开放，机器搁在角落里当测试机用。扫描器不知道这些，它只认版本号。

漏洞扫描不能提供的第一项服务：业务风险评估。扫描器能告诉你漏洞的技术严重程度，但没法判断这个漏洞对你意味着什么。一个CVSS 9.8的漏洞跑在隔离网段的测试环境里，实际风险可能还不如生产环境里一个CVSS 5.0的配置错误。扫描器没有业务上下文，它不知道哪台机器承载核心交易，哪台只是内部Wiki。这个判断得靠人。

第二项：漏洞修复。扫描器不是补丁管理工具。它能发现“你的OpenSSL版本有Heartbleed漏洞”，但不会帮你升级OpenSSL。有些商业扫描器会提供修复建议，甚至给出命令行示例，但执行层面的事它不碰。修复涉及变更管理、测试验证、回滚预案，这些是运维和开发团队的活。扫描器只负责指出来，不负责解决。

第三项：逻辑漏洞检测。这是扫描器最大的盲区。水平越权、支付金额篡改、验证码绕过、竞争条件——这些漏洞没有固定的特征码，扫描器匹配不到。它们藏在业务逻辑里，需要人工测试或者专门的交互式安全测试工具才能发现。我见过一个电商平台，扫描器报告干干净净，结果被人用一块钱买走了价值几千块的商品，问题出在订单金额参数可以被前端篡改。扫描器对这种事一无所知。

第四项：资产管理的准确性。扫描器依赖你提供的IP列表或者域名列表。如果你自己都不知道有哪些资产在线上，扫描器更不知道。很多企业的扫描报告里出现一堆陌生IP，或者漏掉几个关键域名，都是因为资产台账本身就不全。扫描器不会主动帮你发现“哦，原来市场部还偷偷买了一台云服务器没报备”。

第五项：零日漏洞防护。扫描器的漏洞库永远滞后于攻击者。一个新漏洞从被发现到被收录进扫描器的特征库，快则几小时，慢则几天。这段时间里，扫描器扫一百遍也扫不出来。零日漏洞的防御靠的是行为监控、流量分析、入侵检测这些手段，不是靠扫描器比对特征库。

老张后来想明白了。他把扫描器当成体检报告里的指标异常项——能提示你哪里可能有问题，但具体是什么病、怎么治、要不要马上住院，得找医生。扫描器就是那个验血仪器，它不负责诊断，更不负责开药。

所以下次有人问你漏洞扫描能干什么，你可以直接说：它能告诉你“这里可能有个坑”，但坑有多深、会不会摔死人、怎么填上，它不管。指望扫描器解决所有安全问题，就像指望体温计治好发烧一样不现实。