去年冬天，存有漏洞我在一个旧货市场花三十块钱买了台二手路由器。存有漏洞摊主说“能用，存有漏洞就是存有漏洞偶尔断流”，我想着放仓库做备用AP也无所谓。存有漏洞拿回来拆开一看，存有漏洞主板上一颗电容鼓了包，存有漏洞旁边还有手工焊接的存有漏洞痕迹——上家修过，没修利索。存有漏洞这玩意儿就像那些被反复打补丁的存有漏洞软件系统，表面能跑，存有漏洞底下全是存有漏洞雷。

漏洞这东西，存有漏洞从来不是存有漏洞“有没有”的问题，是存有漏洞“什么时候被踩中”的问题。我认识一个做嵌入式开发的老哥，他们团队给某款工业温控器写固件，测试阶段一切正常，量产十万台之后，北方客户集体投诉低温环境下设备死机。查了半个月，发现是晶振在零下十五度时频偏超标，代码里那段延时逻辑直接跑飞。实验室里永远模拟不出所有真实工况，这就是漏洞的生存土壤。

软件层面的漏洞更赤裸。前阵子帮朋友看一个电商后台，登录接口返回的JSON里居然带着用户密码的MD5值。开发说“前端只展示用户名，不碍事”。我当场用Burp抓了个包，改掉用户ID，直接看到了别人的订单和手机号。这不是技术能力问题，是脑子里压根没绷那根弦。很多漏洞不是攻破的，是开发者主动递出去的。

更麻烦的是那种“设计漏洞”。比如某些智能门锁，指纹识别模块和电机控制共用一条I2C总线，理论上只要在特定时机注入信号就能绕过验证直接开锁。厂商说“物理接触才能利用，不算高危”。可现实里，你家的门锁真的没人能物理接触吗？快递员、保洁、前租客，甚至你自己喝多了把锁拆下来玩呢。威胁模型一旦画错，漏洞评级就是自欺欺人。

我见过最离谱的案例来自一家做共享充电宝的公司。他们的App有个“归还失败自动退款”逻辑，但服务器从来不校验充电宝是否真的插回仓。有人写了个脚本，借出后立刻点“归还失败”，钱退了，宝还在手里。这个漏洞存在了八个月，直到有人批量刷了三千多个充电宝挂闲鱼卖，公司才发现。你看，漏洞不一定要多精巧，有时候就是业务流程里少写了一个if。

修补漏洞的过程往往比发现更荒诞。很多团队的处理方式是：加个WAF规则、改个参数名、把报错信息藏起来。表面上看扫描器不报警了，实际上注入点还在，只是换了个姿势。就像我那台路由器，上家换了电容但没清理腐蚀的焊盘，三个月后铜箔彻底烂断。真正的修复需要理解漏洞的成因，而不是让症状消失。

说回那台路由器。我最后没修，把它拆了当零件用。闪存芯片吹下来做了个U盘，射频前端留着以后玩SDR。一个漏洞百出的设备，拆碎了反而每块都还有点价值。系统也一样——承认漏洞永远存在，比假装自己固若金汤要诚实得多。你写的每一行代码，焊的每一个焊点，设计的每一条业务流，都可能在某天某个奇怪的角度被捅穿。这不是悲观，这是工程现实。

所以下次有人跟你说“这个系统很安全”，你可以问问他：你最近一次发现漏洞是什么时候？如果答案是“从来没有”，那要么他运气好得离谱，要么他根本没在看。