2017年5月，不放WannaCry勒索病毒横扫全球，过任超过20万台电脑被加密锁死。漏洞事后复盘，不放漏洞来自一个叫“永恒之蓝”的过任NSA武器库泄露。微软其实早在两个月前就发布了补丁。漏洞问题出在哪？不放大量用户没更新。一个已知漏洞，过任补丁就在那里，漏洞没人装。不放这件事说明一个很朴素的过任道理：漏洞不补，等于没有。漏洞

我做过三年运维。不放那段时间最怕的过任不是服务器宕机，是漏洞安全扫描报告。每次扫出来几十个中高危漏洞，密密麻麻列在表格里。CVE编号、影响版本、修复建议，看上去一目了然。真正去修的时候才知道有多琐碎。有的漏洞要升级系统内核，升级完重启，业务中断半小时，得挑凌晨三点做。有的漏洞涉及第三方组件，厂商还没出补丁，只能先加防火墙规则顶着。还有的漏洞在测试环境里根本复现不了，上了生产才炸。

修漏洞这事，技术含量是一方面，耐心和执行力才是大头。

我见过一个真实的案例。某电商平台做了一个优惠券领取接口，逻辑很简单：用户点领取，后端校验资格，发券。开发图省事，把校验逻辑放在了前端JavaScript里。后端只判断“用户是否登录”，没判断“是否已经领过”。结果有人抓包重放请求，同一个账号领了八千多张券。这不是什么高深的安全漏洞，就是个逻辑漏洞——开发默认用户会老老实实点按钮。

安全圈有句话：永远不要信任客户端。所有关键校验必须放在服务端。道理谁都懂，赶工期的时候第一个被砍的就是它。

再说个更隐蔽的。某次代码审计，我发现一个文件上传功能做了白名单校验，只允许jpg和png。看起来没问题。但仔细看代码，校验的是文件扩展名，而且用的是endsWith方法。攻击者上传一个叫shell.jsp.jpg的文件，扩展名检查通过。如果服务器配置了Apache的多扩展名解析漏洞，这个文件会被当成JSP执行。一个看似合规的白名单，因为对解析规则理解不到位，形同虚设。

漏洞这东西，从来不只存在于代码里。配置、架构、流程、人的习惯，到处都可能是缺口。2018年某快递公司泄露了上亿条用户数据，原因是一个内部员工把数据库账号密码写在了GitHub的公开仓库里。代码里没有漏洞，配置里没有漏洞，但人的行为制造了一个最大的漏洞。

我后来养成一个习惯：每次上线新功能，强迫自己问三个问题——这个接口如果被恶意调用一万次会怎样？这个参数如果传入意料之外的值会怎样？这个功能如果被绕过前端直接请求后端会怎样？大部分漏洞，在问这三个问题的时候就能暴露出来。

修补漏洞的成本，永远低于漏洞被利用后的代价。一个SQL注入漏洞，开发花十分钟加参数化查询就能解决。一旦被拖库，损失是千万级的，还得搭上品牌信誉和监管罚款。这笔账谁都会算，但真正愿意在出事之前花那十分钟的人，不多。

安全不是一个状态，是一个持续的过程。今天修完的漏洞，明天新代码可能又引入新的。没有一劳永逸，只有反复排查、反复修补。不放过任何一个漏洞，说到底不是技术问题，是态度问题。