打开任何一个网站，网站逻辑你看到的网站逻辑页面只是冰山一角。真正决定它能不能跑起来的网站逻辑东西，藏在服务器和浏览器之间来回传递的网站逻辑那几百行代码里。这套东西，网站逻辑我管它叫“网站逻辑”。网站逻辑它不是网站逻辑设计稿，不是网站逻辑配色方案，而是网站逻辑一套冷冰冰的规则：谁先说话，谁后说话，网站逻辑什么情况下闭嘴。网站逻辑

拿登录功能来说。网站逻辑你在输入框里敲完账号密码，网站逻辑点下“登录”按钮。网站逻辑这一瞬间发生了什么？网站逻辑浏览器把数据打包，发一个POST请求给服务器。服务器收到之后，去数据库里比对。比对成功，生成一个叫session的东西，塞给你一个cookie。失败，返回错误码。整个过程不到一秒，但里面每一步都有明确的先后顺序。顺序错了，逻辑就崩了。比如有人把“验证密码”写在“查询用户是否存在”前面，程序直接报错——它根本不知道要拿谁的密码去比。

我见过一个真实的案例。某电商网站的商品详情页，价格显示逻辑是：先读缓存，缓存没有就读数据库，数据库读到了再写回缓存。听起来没问题。但有一次大促，缓存服务挂了。按逻辑应该降级去读数据库，结果代码里写的是“缓存读不到就返回默认价格”。默认价格是0元。于是那天上午，所有商品都标价0元，订单像雪片一样飞进来。二十分钟后才发现，损失惨重。这就是逻辑漏洞，不是技术故障，是规则本身写错了。

网站逻辑还有一个特点：它是分层的。前端逻辑管交互，比如你点“展开全文”，它得立刻把隐藏的文字显示出来。后端逻辑管数据，比如你提交评论，它得先检查你有没有登录，再检查内容有没有敏感词，最后才写进数据库。这两层之间靠API通信。API就像两个部门之间的传话人，传话人要是把“删除用户”听成了“删除所有用户”，那就出大事了。我见过一个后台管理系统，删除单个用户的接口没有做权限校验，结果被爬虫扫到，一条GET请求就把整个用户表清空了。逻辑上，这个接口只应该接受POST请求，并且必须带管理员token。少一个条件，就是灾难。

再说个更日常的。你逛知乎或者微博，往下滑，内容会自动加载。这背后是“分页逻辑”。服务器不会一次性把一万条回答全发给你，它一次只给二十条。你滑到底部，前端发一个请求：“给我第21到40条”。服务器根据这个偏移量去数据库里取。但如果这期间有人新发了一条回答，偏移量就乱了。你可能会看到重复的内容，或者漏掉某一条。解决办法是用游标分页，记录最后一条的ID，下次从它后面取。逻辑变了，体验就顺了。

网站逻辑不是写给人看的，是写给机器执行的。人觉得“差不多就行”的地方，机器会一根筋地执行到底。所以写逻辑的人，得把自己当成一个刻薄的检查员，把每一种可能的情况都堵死。用户没登录怎么办？网络断了怎么办？数据库返回了空值怎么办？这些分支不写清楚，上线就是事故。

我习惯把网站逻辑画成流程图。不是那种漂亮的泳道图，就是白板上歪歪扭扭的箭头和方框。每个方框里写一个动作：验证、查询、写入、返回。箭头代表条件：成功走哪条，失败走哪条。画完一遍，漏洞自己就跳出来了。这比读代码快得多。代码是线性的，逻辑是网状的。你得先看清网，再去看线。

最后说一句。网站逻辑的核心就四个字：顺序、条件。先做什么，后做什么，什么情况下做，什么情况下不做。把这四个字想明白了，网站就不会太离谱。想不明白，再漂亮的前端也是空中楼阁。