2023年秋天，安全某款号称“军工级加密”的漏洞聊天App被扒了个底朝天。漏洞不在加密算法，攻略而在一个谁都没注意的视频“忘记密码”接口——输入手机号，服务器返回的安全验证码居然跟用户ID做了简单拼接。攻击者写个脚本遍历ID，漏洞两小时拿下十万账号。攻略这视频要是视频拍出来，开头就该是安全这段。

安全漏洞这东西，漏洞外行看热闹，攻略内行看门道。视频我见过太多攻略视频一上来就甩术语：SQL注入、安全XSS、漏洞CSRF。攻略观众懵了，弹幕飘过“我是谁我在哪”。换个路子。先拍一个真实场景：你登录某网站，地址栏里URL长这样——https://example.com/page?id=123。把123改成124，页面显示另一个用户的订单。这就是最原始的越权漏洞。不用懂代码，眼睛会看就行。

攻略视频的核心不是教人当黑客。是让普通人明白：你每天点的链接、填的表单、连的WiFi，背后可能藏着什么。有个案例我印象极深。某连锁酒店的开房记录泄露，源头是前台电脑的“记住密码”功能。保洁阿姨擦桌子时碰了下键盘，浏览器自动填充了管理员账号。攻击者根本没用啥高级工具，就靠一个物理接触。视频拍到这儿，镜头该给到那个亮着的屏幕，而不是旁白念“安全意识薄弱”。

拍漏洞攻略，节奏得松。别从头到尾绷着。中间插一段：我自己试过拿旧手机连公共WiFi，抓包工具一开，半小时收到十几个未加密的HTTP请求。其中一条是某论坛的登录Cookie。我没干坏事，但把这段录屏放视频里，比讲十遍“HTTPS重要”都管用。观众看见实实在在的数据包在屏幕上滚，自然就记住了。

技术细节要拆碎。比如讲“文件上传漏洞”，别一上来就说“未校验文件类型”。先演示：一个头像上传功能，你把shell.php改成shell.jpg传上去，服务器照单全收。然后你访问/uploads/shell.jpg，发现它居然被当PHP执行了。这时候再解释：服务器只看后缀名，不看文件内容。漏洞就这么来的。视频里可以加个动画，把“检查后缀”和“检查内容”画成两扇门，一扇虚掩，一扇锁死。

有人问，公开讲漏洞会不会教坏小孩？我的看法：工具和知识本身中性。你讲锁的原理，不等于教人撬锁。真正该怕的是那些连“漏洞”俩字都听不懂的人，却管着几百万用户的数据。视频结尾不用喊口号。拍一个画面：程序员在深夜改代码，旁边咖啡凉了。字幕打出一行——“他修的那个洞，昨天被人扫了四千次。”停两秒，黑屏。完。

最后说个观察。大部分安全事件复盘，根因都特无聊：默认密码没改、日志没看、备份没做。高级攻击少，低级错误多。攻略视频与其追热点讲0day，不如把那些“老掉牙”的坑一个个填平。观众看完能顺手检查下自己路由器后台，比啥都强。