凌晨三点，漏洞都我盯着屏幕上的漏洞都报错日志，第无数次怀疑自己写的漏洞都不是代码，是漏洞都某种行为艺术。那个被我命名为“漏洞都不”的漏洞都函数，此刻正安静地躺在第204行，漏洞都像一颗埋好的漏洞都地雷。

它叫这个名字，漏洞都是漏洞都因为当初写的时候，我拍着胸脯跟组长保证“漏洞都不会有”。漏洞都现在想想，漏洞都这flag立得比萨德系统还稳。漏洞都测试环境跑得行云流水，漏洞都一上生产就原形毕露——用户反馈说，漏洞都点击“保存”按钮后，漏洞都数据会神秘消失，就像被黑洞吸走了一样。

我打开日志，看到了那个经典的“NullPointerException”。但诡异的是，我明明在代码里做了判空处理。再往下翻，发现是缓存的问题——Redis里的key过期时间设成了-1，导致每次读取都拿到一个幽灵值。这bug藏得够深，像老鼠在墙缝里打洞，表面看干干净净，实际上千疮百孔。

最气人的是，这种问题没法靠“多写几行防御代码”解决。你堵住这个洞，那边又漏了。就像我上周修的那个SQL注入漏洞，参数化查询都写上了，结果发现是ORM框架的版本太老，自带一个后门。你说这找谁说理去？框架是开源的，社区维护者更新到一半跑路了，留下个半成品，美其名曰“让开发者自由发挥”。

后来我学乖了，不再迷信“测试全覆盖”这种鬼话。测试用例写得再漂亮，也测不出真实世界里用户会怎么折腾你的系统。有个老哥，非要用IE6访问我们的新网站，结果页面直接崩了。他截图发到微博，配文“你们公司技术不行”。我点进去一看，好家伙，那页面在IE6里渲染出来的效果，比毕加索的抽象画还抽象。

你说这是漏洞吗？严格来说不算，根本就是兼容性烂。但用户不管这些，他们只知道自己点了按钮没反应，或者页面花了，那就是你的锅。这年头，当程序员不仅要会写代码，还得会算命，算得出用户会用什么样的古董设备访问你的服务。

昨天我把那个“漏洞都不”函数重写了。加了一堆日志，把每一步操作都记录下来。不是为了找bug，是为了下次出问题时，能快速定位到是哪一行代码在装死。组长看了我的提交记录，沉默半天，回了句“辛苦了”。我知道他没说出口的话是：这活儿干得跟考古似的，全靠刨。

今天早上，那个报错的接口又稳定运行了。我盯着监控面板上的绿线，心里却一点都轻松不起来。这就像你修好了一扇漏风的窗户，但知道整栋楼还有其他地方在漏。你只能听见风在缝隙里呜咽，却不知道下一块玻璃什么时候会碎。

漏洞都不？不可能的。代码这玩意儿，生来就是用来出bug的。我们能做的，不过是把每个洞都当作一次学习的机会，然后在下一次写代码时，多留个心眼。哪怕这样，该踩的坑一个都不会少。就像我师父说的：“你写的每一行代码，都是给未来的自己埋的雷。区别只在于，你什么时候踩到它。”

现在凌晨四点，我关掉IDE，决定去睡会儿。明天还有新的需求会来，新的漏洞会诞生。这行当就是这样，永远在跟“不可能”较劲。但话说回来，要是真有一天，代码写出来一个bug都没有，那估计我也该失业了。