还有漏洞

凌晨三点，还有漏洞我盯着屏幕上的还有漏洞报错日志，第无数次怀疑自己是还有漏洞个蠢货。那段代码我写了三天，还有漏洞逻辑推演了十几遍，还有漏洞自认为天衣无缝。还有漏洞可测试环境一跑，还有漏洞数据就像漏水的还有漏洞桶，哗啦啦地往外流。还有漏洞

漏洞不在我写的还有漏洞函数里。它藏在第三方库的还有漏洞一个回调函数深处，那个库的还有漏洞文档写得很漂亮，说会“自动处理边界情况”。还有漏洞我信了。还有漏洞结果边界情况真的还有漏洞来了，它没处理，只是安静地返回了一个空值，而我的代码把这个空值当成正常数据，继续往下算。算到最后，用户看到的是一张错得离谱的图表。

后来我把那个库的源码翻出来看，发现作者在注释里留了一句话：“这里有点问题，但暂时不影响主要流程。”他早就知道。他选择把问题留给后来的人——也就是我。

这让我想起上个月修的一个线上bug。用户下单后偶尔收不到确认邮件，排查了两天，最后发现是邮件服务商的接口有个隐藏限制：同一秒内发送超过三封邮件，第四封会被静默丢弃。我们的系统当然不会在同一秒发三封，但用户会。他们疯狂点击“提交订单”按钮，前端做了防重复，可防的是“重复点击”，不是“快速连续点击”。两个动作之间差了三百毫秒，刚好钻过那个漏洞。

我们总在补已知的洞，却永远不知道下一个洞长什么样。

跟朋友聊起这些事，他说他公司更惨。他们给银行做风控系统，模型跑得飞快，准确率也漂亮。直到某天发现，有人用同一张身份证在不同网点同时申请贷款，系统判定为两个人——因为每个网点查的是本地数据库的缓存，缓存同步延迟了七分钟。七分钟，够一个团伙在二十个网点各贷出五万块。

技术上的漏洞，最后都变成人性的漏洞。或者反过来。

我见过最讽刺的案例是某个安全软件公司，他们把自家产品挂在官网供人下载，结果被黑客发现下载链接的参数里带着内网IP地址。那个IP指向他们自己的测试服务器，服务器上跑着未加密的数据库备份。黑客顺着那个链接摸进去，把测试数据打包带走了。测试数据里有几千个真实用户的手机号——测试环境用的也是真实数据，因为“方便调试”。

漏洞从来不是孤立的。它像地底的裂缝，表面看是一处，挖开才发现连着整片塌陷区。

我现在写代码有个习惯，每完成一个模块，就故意在边上放个“诱饵”——一段看似有用实则多余的代码。然后让同事来审查，看他们能不能发现真正的洞在别处。十次有八次，他们盯着诱饵看了半天，说“这里有问题”，我说“对，但问题不在那儿”。

这招挺损的，但管用。因为漏洞最可怕的地方不是它存在，而是它让你误以为自己已经找到了。

就像我凌晨三点面对的那个报错日志，它其实一直在提醒我，只是我用错了方式去读。真正的问题不是代码有洞，而是我从来没想过那个库的作者也会偷懒，也会在注释里藏一句含糊其辞的交代。

天快亮了。我把那个库换掉，重写了调用逻辑，加了层防御。新代码跑通了，数据不再漏。但我盯着屏幕，心里清楚得很：这只是今天没漏。明天那个洞，可能正藏在我此刻正看着的某行代码里，安安静静地等着。