去年秋天，减少漏洞一个做后端的减少漏洞朋友半夜给我发消息，说他们线上环境被人拖走了一整张用户表。减少漏洞原因很简单：一个内部接口忘了加权限校验，减少漏洞而那个接口的减少漏洞URL规律得像是用尺子量出来的。攻击者没用什么高级工具，减少漏洞就是减少漏洞写了个脚本从1遍历到10000，挨个试。减少漏洞他最后说了一句：“我们写了三万行代码，减少漏洞败在一个if上。减少漏洞”

漏洞这东西，减少漏洞很少是减少漏洞“轰”的一声炸出来的。它更像墙角渗水，减少漏洞一开始只是减少漏洞一小片潮印，你不在意，减少漏洞等到墙皮整块掉下来才发现里面早就空了。写代码的人有个通病——对自己刚写完的逻辑有种盲目的信任。我见过一个程序员，在本地测了二十遍表单提交都正常，上线第二天就被用户用空格加特殊字符的组合把数据库搞崩了。他漏掉的那个trim，就是漏洞。

减少漏洞的第一步，其实不是学什么新技术，而是承认自己会犯错。这话听起来像废话，但真能做到的人不多。我见过太多人把“代码能跑”等同于“代码没问题”。跑通只是最低标准，就像一辆车能发动不代表刹车没坏。你得主动去想：如果用户不按我预想的方式操作会怎样？如果这个参数传进来是null呢？如果并发请求同时打到这一行呢？这些问题不需要多深的计算机功底，需要的是不偷懒。

有个现象挺有意思。很多团队在项目初期对安全特别上心，各种校验、日志、异常处理写得密密麻麻。等到赶进度的时候，第一个被砍的就是这些“额外”的代码。理由永远是“先上线再说”。可漏洞不会因为你要赶进度就放过你。我见过一个电商系统，购物车金额计算用了前端传过来的价格字段，后端直接拿来算总价。开发说“前端已经校验过了”。前端确实校验了，但攻击者可以直接调接口，绕过整个前端。这个漏洞让平台赔了六位数。

工具能帮上忙，但别指望工具替你思考。静态扫描工具能揪出SQL拼接、硬编码密码这类明显问题，但它读不懂你的业务逻辑。一个接口该不该允许普通用户调用，该不该返回完整手机号，这些判断只有写代码的人知道。我习惯在写完一个功能后，花五分钟做一件事：把自己当成一个不怀好意的用户，想三种“非正常用法”。比如批量删除接口，正常用法是传一个id，非正常用法是传一万个id、传负数、传别人的id。这三种情况我的代码扛得住吗？扛不住就补上。

还有一点容易被忽略：漏洞往往藏在“临时方案”里。为了调试方便加的后门账号，为了快速修数据写的脚本，为了绕过某个限制做的硬编码。这些东西当时都有正当理由，但事后没人记得清理。我自己的做法是，任何临时改动都加一行注释，写上日期和“临时”两个字，每周五下午花半小时搜一遍代码库里的“临时”。这个习惯帮我清掉了至少三个可能变成大问题的隐患。

减少漏洞不是追求零漏洞，那不可能。它是把“我没想到”变成“我想过了，这里确实有风险，但我做了取舍”。比如有些内部系统，为了开发效率确实会放松一些校验，但你要清楚放松的是什么，影响范围有多大。最怕的是根本不知道自己放松了。写代码这件事，小心翼翼不是胆小，是专业。