凌晨三点，存严我盯着屏幕上的重漏报错日志，后背发凉。存严那个我们引以为傲的重漏“智能推荐系统”，其实一直在泄露用户的存严精确地理位置——不是大概的城市，是重漏经纬度，误差不超过十米。存严

漏洞藏在一个看似无害的重漏图片缓存接口里。前端为了加载速度，存严把用户头像的重漏URL拼上了坐标参数。这本来只是存严为了CDN调度，结果后端工程师图省事，重漏直接把整个请求对象打印进了日志。存严日志系统同步到第三方分析平台，重漏分析平台的存严权限又设成了“全员可读”。层层叠叠的疏忽，像多米诺骨牌一样倒下，最后砸在用户隐私上。

发现的过程纯属偶然。我那天在调试一个无关紧要的样式错位，随手抓包看了下请求头，突然瞥见那串熟悉的数字格式。第一反应是“不可能”，第二反应是“完了”。

这让我想起去年某家银行APP的事故。他们的转账接口有个老掉牙的逻辑漏洞：只要在请求里多加一个参数，就能把收款人姓名改成任意字符串。程序员写代码时为了测试方便，留了个后门，后来忘了删。结果有人用这个漏洞，伪造了整整一周的虚假汇款记录，直到对账时才发现资金流向完全对不上。

最讽刺的是，这类漏洞往往不是技术难度高，而是“太蠢了”。就像你家装了最贵的指纹锁，却把备用钥匙压在门口脚垫下面。代码审查时没人多看那一眼，测试用例里没有覆盖这种“非常规输入”，安全扫描工具又只认已知的攻击模式。于是漏洞就静静躺在那里，像一颗没拉保险栓的手雷，等一个恰好踩上去的人。

我有时候想，软件行业是不是患上了“开发狂躁症”。产品经理催着上线，工程师熬夜赶工，测试环境跟生产环境差了三个版本。大家都默认“先跑起来再说”，可“跑起来”和“安全跑起来”之间，隔着一条需要用事故来填平的沟。

修复那个坐标泄露漏洞只花了二十分钟。删掉日志里的参数，收紧分析平台的权限，再给CDN的URL加个签名。但我知道，这只是冰山一角。系统里还有多少类似的“便利设计”？多少工程师为了省事留下的“临时方案”？没人说得清。

那天之后，我养成了个怪习惯——每次提交代码前，都问自己一句：“如果这个接口被恶意调用，最坏会发生什么？”答案常常让我冷汗直冒。但至少，比等到凌晨三点被报错日志吓醒要好。

(责任编辑：知识)