凌晨三点，堵塞我盯着屏幕上的问题报错日志，第无数次按下刷新键。漏洞那个支付接口的堵塞并发漏洞，像一根扎进手指的问题细刺——不致命，但每次碰到都让人龇牙咧嘴。漏洞

程序员圈子里有个老段子：代码写得好不好，堵塞不看功能多炫，问题看漏洞被堵得干不干净。漏洞这话糙，堵塞理不糙。问题上周隔壁组上线新功能，漏洞测试环境跑得欢天喜地，堵塞一上生产就被用户薅了羊毛——优惠券叠加规则里有个逻辑漏洞，问题有人用三个账号互相刷，漏洞硬是把200块的券用出了2000块的效果。产品经理脸都绿了，连夜回滚版本，第二天全组写复盘报告。

漏洞这东西，像屋子里的老鼠洞。你堵住厨房那个，客厅又冒出来一个。最气人的是，你永远不知道下一个洞在哪面墙上。

我见过最离谱的案例，是某家银行APP的转账功能。开发小哥图省事，把用户ID直接拼进SQL查询语句里。测试时用自己账号试，一切正常。上线第三天，有人用抓包工具改了请求参数，把别人的账户余额查了个底朝天。银行连夜发公告道歉，那个小哥第二天就没来上班——听说主动辞职了。

堵漏洞这事儿，光靠技术手段不够。你得有那种“防贼”的思维：门锁要装，窗户要焊，连排气管道都得考虑有人会不会从那儿爬进来。我认识一个安全工程师，他有个习惯——每次写完代码，都假设自己是个黑客，琢磨怎么把这功能搞崩。他说这叫“逆向思维”，我觉得更像个被迫害妄想症患者。

但话说回来，没有这种“妄想”还真不行。上个月我们团队做活动页，我负责的抽奖模块里有个概率计算的边界条件没处理好——当参与人数超过某个阈值时，中奖率会莫名翻倍。还好内测时一个测试妹子用脚本跑了十万次模拟，才把这个雷挖出来。那天她顶着鸡窝头从工位上站起来，举着手机喊：“我找到bug了！”那表情，比中了彩票还兴奋。

堵漏洞的活，干久了容易怀疑人生。你永远在补，永远有新洞冒出来。但换个角度想——这恰恰说明系统在生长。一个没有漏洞的系统，要么是死系统，要么是还没被人盯上。

现在我的电脑上贴着一张便利贴，上面写着：“假设所有输入都是恶意输入。”这八个字，是我被坑了无数次后总结出来的血泪教训。每次写代码前看一眼，就像出门前摸摸口袋——钥匙带了没，手机带了没，漏洞堵了没。

漏洞堵得越勤，系统活得越久。这话没毛病。