去年冬天，核销漏洞我在一家连锁奶茶店做兼职。核销漏洞打烊后店长让我把当天没卖完的核销漏洞原料做报废处理，我亲眼看着他拿起手机，核销漏洞对着垃圾桶里完好的核销漏洞珍珠和茶汤拍了张照，然后在系统里点了“已核销”。核销漏洞第二天早上，核销漏洞那些珍珠又出现在了操作台上。核销漏洞

这就是核销漏洞核销漏洞最朴素的样子——系统里记录的是损耗，现实中发生的核销漏洞是回流。做账的核销漏洞人知道，看账的核销漏洞人不知道，中间那层信息差就是核销漏洞利润。

核销这个词听起来很财务，核销漏洞很正规。核销漏洞它的本意是“核对并注销”，一笔账对上了，销掉，闭环。但问题恰恰出在“核对”这个环节。谁来核？怎么对？如果核销的凭证只是一张照片、一串数字、一个勾选框，那它本质上就是自证清白。

我后来换过几份工作，发现这套逻辑到处都在。做电商运营的时候，平台给商家补贴，要求上传物流签收单才能核销。有商家直接找快递网点买签收记录，一单五毛钱，货根本没发。做社区团购的时候，团长报损生鲜，拍几张烂菜叶的照片就能通过审核。实际上烂菜叶是专门留着的道具，拍完照扔进垃圾桶，好的菜继续卖。

核销漏洞的核心从来不是技术问题。系统再先进，审核规则再复杂，最终都要落到“人”这个节点上。而人是有立场的。申请核销的人希望通过，审核核销的人希望省事，设计流程的人假设大家都是诚实的。三个假设叠在一起，漏洞就变成了默认通道。

更麻烦的是，很多核销流程里，申请人、执行人、审核人是同一个人。小公司尤其常见。老板让员工自己报损耗自己核销，月底对一下总数差不多就行。这种“差不多”就是漏洞的温床。员工拿捏的尺度很精准——多报百分之十，老板不会查；多报百分之三十，才会被注意到。于是百分之十就成了合理损耗。

我见过最离谱的一次，是一家做企业礼品定制的公司。客户要一千个杯子，实际生产了一千二百个，多出来的两百个走“样品核销”出库。核销单上写的是“客户确认样品，已销毁”。实际上那两百个杯子在闲鱼上挂着卖，发货地址就是公司仓库。整个链条里，核销单就是洗白工具，把不该出库的东西变成“已处理”。

有人会说，那就加强审计啊。但审计是抽样，核销是日常。抽样的概率永远追不上日常的频次。而且审计看的是单据，单据是可以补的。今天核销出问题，明天补一张说明就行。真正要堵住漏洞，得让核销的凭证无法伪造——比如报废必须视频连线第三方、签收必须实时定位加水印。但这样做的成本，往往比漏洞本身造成的损失还高。

所以大多数公司的选择是：设置一个容忍阈值。损耗率百分之五以内，随便核销；超过百分之五，才启动人工复核。这个阈值就是漏洞的合法空间。员工知道，老板也知道，大家心照不宣。只要不超过那条线，核销就是走个过场。

奶茶店那个店长后来跟我说，他每个月靠“报废回流”能多赚两千多。公司知道吗？可能知道，也可能不知道。但公司算过账，装监控、派人盯、改系统，一年要多花十几万。而他拿走的，一年也就两三万。从财务角度看，留着这个漏洞反而更划算。

这才是核销漏洞最讽刺的地方——它不是被发现不了，而是被计算过了。当堵漏的成本高于漏掉的收益，漏洞就变成了制度的一部分。那些核销单上整整齐齐的数字，记录的从来不是真实损耗，而是各方都能接受的平衡点。