2017年5月，发现WannaCry勒索病毒横扫全球，漏洞超过20万台电脑被锁死，应该医院手术被迫取消，发现工厂生产线停摆。漏洞事后调查发现，应该微软其实在两个月前就发布了针对该漏洞的发现安全补丁。那些及时更新系统的漏洞用户，安然无恙。应该没更新的发现，损失惨重。漏洞一个已知的应该漏洞，因为没被及时修补，发现演变成一场灾难。漏洞

这件事说明的应该问题很朴素：漏洞本身不可怕，可怕的是发现了却拖着不处理。

我曾在一个小型开发团队待过。有次测试同事发现支付接口有个逻辑缺陷——用户可以绕过金额校验，把订单金额改成负数，相当于平台倒贴钱。测试同事当天就提了bug单，但负责那块代码的工程师觉得“影响面不大，下个版本再改”。结果那个“下个版本”拖了三周。三周里，这个漏洞被一个用户偶然触发，刷走了将近两万块。事后复盘，所有人都沉默。那个工程师说了一句我记到现在的话：“我以为不会有那么巧的事。”

安全领域有个说法叫“漏洞窗口期”——从漏洞被发现到被修复之间的时间差。这个窗口期越长，被利用的概率就越高。攻击者扫描全网找突破口，靠的就是自动化工具，一天能扫几十万个IP。你留一个口子在那，等于在黑暗里举了盏灯。

有人会觉得，小漏洞没人看得上。这个判断本身就危险。2016年，美国民主党全国委员会邮箱被入侵，起因不过是一封钓鱼邮件。技术含量高吗？不高。但就是这封邮件，后来演变成影响美国大选走向的“邮件门”。小漏洞不补，往往不是因为它小，而是因为人们习惯性地低估了它的后果。

还有一种心态更常见：发现了漏洞，但觉得修复成本太高，先放着。这种算账方式其实只算了修复的钱，没算不修复的账。WannaCry之后，有研究机构估算，全球因此产生的经济损失超过40亿美元。而微软发布补丁的成本，摊到每个用户身上几乎可以忽略。这笔账，怎么算都是及时修更划算。

我自己写代码的时候也犯过这种错。一个边界条件没处理好，测试的时候偶尔报错，但不是必现，我就没管。过了两个月，业务量上来，那个边界条件被频繁触发，服务半夜挂了。爬起来修的时候我就在想，当时花十分钟改掉，哪至于现在花四个小时排查。而且半夜被叫醒的那种烦躁，比代码本身更折磨人。

发现漏洞及时处理，说到底是个习惯问题。就像家里水管漏水，你拿个盆接着，今天接一盆，明天接一盆，总有一天盆不够用，地板也泡烂了。正确的做法是发现漏的那一刻就去找扳手。修得快，损失就小。拖着不修，省下的那点时间，迟早要加倍还回去。

安全这件事没有侥幸。你今天忽略的那个小口子，可能就是明天别人攻进来的大门。