2017年5月，系统WannaCry勒索病毒横扫全球150多个国家，漏洞英国国家医疗服务体系的产生电脑被锁，手术被迫取消。系统讽刺的漏洞是，微软早在3月就发布了修复补丁，产生但大量机构没更新。系统漏洞不是漏洞黑客发明的，是产生系统自己长出来的。

最根本的系统原因，是漏洞代码本身就是人类写的。程序员写代码时，产生脑子里想的系统是功能能不能跑通，而不是漏洞黑客会怎么拆解它。一个登录框，产生开发时只考虑输入正确密码能进去，却很少有人想：如果输入的内容是恶意指令呢？这就是“输入验证”漏洞的由来——SQL注入、XSS攻击，本质上都是系统太信任用户输入了。我见过某电商平台，商品价格存在前端页面里，后端不做校验，结果有人把价格改成0.01元下单，系统还真发货了。这不是段子，是真实发生过的事故。

架构设计上的坑更深。很多老系统是二十年前搭的骨架，当年只有几百个用户，现在扛着几千万流量。最初设计时根本没考虑权限分级、数据隔离，后来业务扩展，就在旧地基上硬盖楼。某个国有银行的转账接口，早期版本允许单笔交易不校验账户归属，后来虽然加了验证，但老接口还留着供内部系统调用——结果被外部爬虫摸到，直接越权操作。这种“历史包袱”型漏洞，比新写的bug更致命，因为它藏在最深的逻辑层，测试根本覆盖不到。

还有一类漏洞，纯粹是流程逼出来的。公司要赶上线时间，测试阶段发现的问题被标注为“低优先级”，先上线再说。我认识一个运维工程师，他所在的初创公司为了抢“双十一”节点，把未修复的CSRF漏洞打包上线，结果上线当天就被竞争对手刷走了全部优惠券库存。事后复盘，开发团队说“当时知道有风险，但产品经理说晚一天上线就错过整个促销季了”。你看，漏洞不全是技术问题，是商业决策和技术安全在时间压力下的妥协。

第三方组件更是个大坑。现在哪个系统不用开源库？Struts2框架出过多少次远程代码执行漏洞？每次爆出漏洞，企业要排查自己用了哪个版本，但很多项目连依赖清单都没整理过。更可怕的是，有些开发直接复制网上代码片段，根本不知道那段代码里藏着后门。2021年Log4j漏洞爆发时，我帮朋友查他公司的服务器，发现日志组件是2015年从论坛抄来的，自己改了两行代码，完全不知道原作者留了个可以执行任意命令的接口。

别以为云服务就安全。配置错误才是云时代最大的漏洞——AWS的S3存储桶被设为公开读写，谷歌云的防火墙规则配反了方向，这类事故占云安全事件的80%。根本原因在于，云平台提供了极其灵活的权限配置，但人类天生不擅长管理细粒度的权限矩阵。你让一个后端工程师去设置IAM策略，他大概率会选“允许所有访问”，因为这样测试最方便，等上线了再改——然后就忘了。

说句得罪人的话，很多漏洞是“懒”出来的。懒得写输入校验，懒得做权限分离，懒得更新依赖库，懒得删掉调试后门。安全从来不是某个环节的单独责任，而是整个开发链条里，每一次“先这样吧”的将就，最终累积成黑客手里的钥匙。