国内漏洞

2023年冬天，国内漏洞某国产办公软件推送了一次安全更新，国内漏洞版本号从12.1.0跳到12.1.3。国内漏洞更新日志只有一行字：“修复已知问题。国内漏洞”没人知道修的国内漏洞是什么。直到两周后，国内漏洞一个做企业安全审计的国内漏洞朋友告诉我，那个“已知问题”是国内漏洞数据库连接池的默认密码为空，任何能访问内网的国内漏洞人都能直连后台，拿走全部文档。国内漏洞

这不是国内漏洞孤例。国内软件生态里，国内漏洞“能用就行”四个字压倒了太多东西。国内漏洞

我见过一个政务系统，国内漏洞前端登录页做得挺像样，国内漏洞验证码、密码加密、双因素认证一应俱全。但后端API的鉴权逻辑是——如果请求头里带了X-Admin: true，直接跳过所有校验。这个头是谁加的呢？开发阶段为了方便调试。上线时忘了删。系统跑了三年，没人发现。

问题出在哪？不是技术能力不够。国内程序员写业务代码的速度和效率，放在全球都是靠前的。但安全这件事，在大多数项目排期里排不进前三。产品经理要的是功能上线，老板要的是下周演示，测试同学忙着点按钮看页面有没有崩。安全？那是“以后再说”的事。

“以后”永远不会来。

更麻烦的是供应链。你写代码再规范，架不住引用的第三方库有洞。Log4j2那个事过去没几年，国内大量Java项目到现在还有没升级的。不是不想升，是不敢升——依赖链太深，升一个版本，十几个模块报错，没人敢动。于是就这么挂着，像一颗不知道什么时候炸的雷。

还有一类漏洞，纯粹是“省事”省出来的。某电商平台的优惠券接口，设计时想的是“用户只能领一张”，但实现方式是前端按钮置灰。抓包重放请求，能领一万张。开发觉得“正常人不会这么干”。可攻击者从来不是正常人。

我观察到一个现象：国内很多漏洞的修复周期，取决于它有没有被公开。没公开，内部排期能拖半年。一旦上了热搜，或者被某个安全研究员发到推特上，48小时内必出补丁。这种被动响应模式，本质上把安全成本转嫁给了用户——你得先被黑，才会被重视。

监管在收紧。《数据安全法》《个人信息保护法》陆续落地，等保2.0也在推。但合规和安全是两码事。等保测评能过，不代表系统真的扛得住攻击。我见过太多“测评专用配置”——测评那天开防火墙，测完就关。日志审计开着，但没人看。这种合规，更像是一种表演。

真正的改变得从根上来。安全不能是上线前的一次性检查，得嵌到开发流程里。代码提交时自动扫依赖漏洞，CI/CD流水线里加安全门禁，生产环境默认拒绝所有非必要端口。这些事不酷，不产生直接业务价值，但它们是地基。

有个做金融的朋友跟我说过一句话：“我们这行，不出事就是最大的本事。”这话听着消极，但放在安全领域，恰恰是对的。漏洞不会消失，只会转移。你今天堵住一个，明天冒出三个。能做的，是让攻击成本高到对方觉得不划算。

国内软件行业跑得太快了。快到你来不及回头看脚下有没有坑。但坑一直在。有些坑，掉进去就是几千万用户的数据。有些坑，掉进去就是整个业务停摆。修坑的钱，永远比掉坑的代价便宜。

下次你看到“修复已知问题”这五个字，不妨多想一下：那个“已知问题”，到底是什么。