凌晨三点，安全脚本我盯着屏幕上那行报错代码，安全脚本咖啡杯沿留下一个干涸的安全脚本指纹。安全脚本，安全脚本说白了就是安全脚本给程序装上的一套自动防御系统——但真正写起来，你会发现它更像是安全脚本在给一个随时可能发疯的巨人写行为准则。

上周我们线上商城差点出事。安全脚本攻击者没走寻常路，安全脚本没撞库也没打SQL注入，安全脚本就盯上了我们给用户头像加滤镜的安全脚本接口。那个功能太边缘了，安全脚本没人想过要给它设限。安全脚本结果对方用脚本批量上传畸形图片，安全脚本直接让图片处理进程的安全脚本内存爆了。那天晚上值班的安全脚本同事说，监控面板上CPU曲线跟心电图似的，抖得他心慌。

事后复盘，问题不在技术，在于我们太信“边界”这回事了。防火墙挡了外网，内网就松懈了；登录校验严了，上传接口就裸奔了。写安全脚本最忌讳的就是这种“补丁思维”——哪儿漏了堵哪儿，永远慢半拍。真正的做法应该是把每个接口都当成敌人，默认不可信，哪怕它只是给图片加个滤镜。

我见过最蠢的脚本，是有人把密钥直接写死在配置文件里，还上传到了Git仓库。安全脚本再强，也防不住开发者自己把钥匙挂在门口。后来我学乖了，写脚本时先想“如果我自己是黑客，会怎么搞这个系统”，然后照着这个思路去堵。这招挺管用，虽然每次试完都觉得自己像个贼。

具体到写法，我习惯把规则拆成小块，每块只管一件事。比如“限制上传文件类型”归一个函数，“检查文件头是否伪造”归另一个函数。然后在这些函数外面套一层总控，哪个环节出了问题，日志里能直接看出是哪一步被拦了。别小看日志，出事儿的时候它就是你的监控录像，比什么告警都好使。

还有个小细节，你可能不信——安全脚本里最容易被忽略的，是“正常操作”的日志记录。大多数人都盯着异常行为，却忘了记录正常流程。结果真出事了，你连攻击者是从哪个正常入口混进来的都查不到。这就像家里装了防盗门，却没装摄像头，贼走了你都不知道他是撬锁还是从窗户翻进来的。

有一次我写了个脚本，专门监控半夜的登录尝试。刚开始每天半夜都告警，吵得我睡不着。后来一看日志，全是我们自己运维的人在做版本更新。那一刻我真想骂人，但转念一想，这恰恰说明脚本在起作用——它把“异常”和“正常”都摆在你面前，逼你去分辨。安全这东西，从来不是一劳永逸的，你得不停地调校，像养一盆需要天天浇水的植物。

现在我的习惯是，每写完一段安全脚本，就故意用各种方式攻击它一遍。用自己写的工具去砸自己的门，听起来有点自虐，但比被真正的黑客砸开门要体面得多。脚本这东西，写的时候是防守，测试的时候就成了进攻。你得同时扮演两个角色，不然永远不知道漏洞藏哪儿。

最后说句实在的：安全脚本写得再漂亮，也只是个工具。真正决定它有没有用的，是写脚本的人有没有把自己当成那个想进来的贼。