找漏洞

我蹲在机房里，找漏洞看着那台服务器指示灯规律地闪烁，找漏洞心里却直犯嘀咕。找漏洞三天前刚上线的找漏洞支付系统，测试时一切正常，找漏洞一跑真实流量就出幺蛾子——不是找漏洞偶尔超时，就是找漏洞莫名丢包。主管拍着桌子说“找漏洞”，找漏洞可这漏洞像泥鳅，找漏洞滑不溜秋。找漏洞

起初我怀疑是找漏洞代码问题。翻遍了交易日志，找漏洞查了所有异常捕获，找漏洞愣是找漏洞没发现半点端倪。直到那天下午，找漏洞运维老张无意间说了句：“这机柜散热风扇是不是该换了？”我抬头看了看角落那台旧空调，突然想到——会不会是温度？

查了温度监控曲线，果然，每天下午两点到四点，机房温度会飙到三十一度，刚好超过服务器散热阈值。系统为了保护硬件，自动降频，处理速度一慢，请求就堆积，超时自然就来了。但为什么测试时没发现？因为测试都在上午，机房凉快得很。

这漏洞藏得够深，不在代码逻辑里，而在物理环境里。我蹲在机柜旁边，看着温度计上的数字起起伏伏，忽然觉得写程序这件事挺滑稽的。我们总盯着屏幕上的字符，却忘了服务器是台会发热的机器，它怕热、怕灰尘、怕湿度，跟人一样娇贵。

后来我把温度告警接进了监控系统，又在代码里加了自适应降级策略。但那几天蹲机房的经验，让我养成了个毛病——每次上线新功能，都会先问一句：这功能在极端环境下会怎样？断电？断网？还是机房空调坏了？

漏洞这东西，有时候不在你写的那几千行代码里，而在你没想到的那一层。就像你精心布置了家里的防盗门，结果小偷从窗户翻进来了。窗户不是你的专业领域，但漏洞就是漏洞，它不管你是不是负责窗户的那个人。

我见过最离谱的一次漏洞，是在一家银行的核心系统里。那系统跑了几十年，稳如老狗，突然有一天，某笔跨行转账的金额小数点后多出两个零。排查了三天，最后发现是某个老程序员在二十年前写了个“临时补丁”，处理特定日期格式时，用的是美国时间，而那年刚好赶上夏令时调整。一个二十年前的临时方案，在某个特定日期的某个特定时刻，像定时炸弹一样炸了。

你说这算谁的锅？写补丁的人早退休了，接手的人不知道有这补丁，测试的人没想过夏令时问题，运维的人更不会去翻二十年前的注释。漏洞就在那里，像颗埋在地下的雷，等着那个恰好踩上去的人。

我后来常跟新人说，找漏洞别只盯着眼前。代码只是冰山一角，下面藏着的是你对整个系统的理解——硬件会老化，时间会错乱，第三方接口会突然改格式，甚至某个你根本不知道的依赖库，会在某个版本悄悄改变行为。真正的漏洞，往往在你最自信的地方。你越觉得“这不可能有问题”，越要警惕——说不定那就是下一个坑。

机房的空调终于换了新的，温度曲线平稳得像心电图。但我现在看每一行代码，都像在看一个潜在的漏洞。可能这就是干这行的宿命吧——永远在找漏洞，永远找不完。但也正是这些藏得深深的坑，让这工作有了点侦探的味道。