上周三凌晨两点，漏洞我手机弹出一条告警：某客户后台的情况订单查询接口响应时间从200毫秒飙到12秒。登录服务器一看，说明CPU跑满，漏洞慢查询日志里全是情况同一条SQL——没有索引的模糊匹配，还带了个ORDER BY。说明运维同事说，漏洞这接口上线三个月一直没事，情况最近数据量刚过80万行，说明就炸了。漏洞

这就是情况典型的“小漏洞拖成大故障”。很多人以为漏洞就是说明安全补丁没打、被人SQL注入，漏洞其实性能上的情况隐性缺陷同样致命。它不声不响，说明等业务量一上来，直接掐住整个系统的脖子。

一个分页参数引发的雪崩

去年我参与排查过一个更隐蔽的案例。某电商App的商品列表接口，前端传参里有个pageSize，默认20。测试同学用20测了半年，没问题。直到有个爬虫脚本把pageSize改成5000，连续请求了十几次。数据库连接池瞬间耗尽，所有正常用户的请求全部超时。更麻烦的是，这个接口没做频率限制，也没校验pageSize的上限值。

问题出在代码里一行看似无害的写法：limit ${ pageSize} offset ${ (page-1)*pageSize}。用字符串拼接而不是参数化查询，既给了SQL注入的机会，又让数据库每次都要扫描大量无用行。修复方案很简单——加白名单校验，pageSize最大100，同时改成预编译语句。但代价是，那天晚上整个团队加班到四点，回滚了两次版本。

日志里藏着的定时炸弹

还有一种漏洞，跟代码逻辑无关，纯粹是配置疏忽。我见过一个后台管理系统，日志级别设成了DEBUG，而且没做切割。运行两周后，单个日志文件涨到40GB。磁盘写满那天，所有服务进程全部挂掉。更讽刺的是，运维监控只盯着CPU和内存，磁盘使用率根本没配告警。

这类问题很难靠代码审查发现。你得实际跑一段时间，观察系统在真实流量下的表现。我的习惯是，新服务上线前，先跑一轮压测，同时打开slow_query_log和error_log，把阈值调低，看哪些操作在悄悄消耗资源。比如某次我发现一个定时任务每5分钟全表扫描一次用户表，表里才3万行，但半年后呢？

修复不是终点，验证才是

很多人改完代码就提交，觉得万事大吉。我吃过亏。有次修复一个越权漏洞，加了权限校验，但忘了处理“用户ID为0”的边界情况。测试环境没覆盖这个用例，上线后攻击者用userId=0照样能读到别人的数据。后来我们定了个规矩：任何漏洞修复，必须附带一个能复现原问题的测试用例，并且这个用例要在修复前跑失败，修复后跑通过。

漏洞情况说明写到最后，其实就三件事：它怎么发生的、影响范围多大、怎么确保不再犯。别堆术语，别写“高度重视”“举一反三”这种话。把时间线、请求量、错误码、修复前后的对比数据列清楚，比什么都强。我见过最实在的一份说明，附件里直接贴了慢查询的EXPLAIN结果和修复后的SHOW INDEX，一眼就能看懂问题出在哪。

凌晨那件事的后续是：我们给那个接口加了复合索引，把模糊匹配改成前缀匹配，又加了一层Redis缓存。现在响应时间稳定在80毫秒左右。但每次上线新功能，我还是会先问一句——这个查询，数据量翻十倍会怎样？