“填补漏洞”这四个字，填补在中文里最直接的漏洞对应就是 fill a hole 或者 plug a gap。但真到了具体场景，填补说法完全不一样。漏洞上周我帮朋友改一段代码注释，填补他写的漏洞是“fix the bug”，我问他为什么不写“patch the vulnerability”，填补他愣了一下说，漏洞这不是填补一样吗。其实差挺远。漏洞

bug 是填补普通程序错误，vulnerability 是漏洞安全弱点，hole 更偏口语。填补你去看微软的漏洞补丁说明，用的填补词是“address a vulnerability”或者“mitigate a security flaw”。address 这个词很妙，字面是“处理、应对”，不承诺彻底修好，但表示我们动手了。mitigate 是缓解，也不是根治。真正说“填补”那个动作，英文里常见的是 patch——打补丁。patch a hole 这个搭配在IT圈天天用，但日常英语里更常说 plug a hole。

plug 这个词有意思。它本意是塞子，塞住漏水口。你家里水管漏了，拿个橡胶塞堵住，那就是 plug a leak。安全圈借用这个意象，说 plug a security hole，画面感很强——漏洞像个洞，你拿东西把它堵上。而 fill 更多是填平，比如 fill a gap in the market（填补市场空白），fill a hole in the schedule（填补日程空缺）。这两个词不能随便换。

我前公司有个产品经理，英文不错，但有一次在给美国团队的邮件里写“we need to fill the security hole”，对方回了一句“you mean plug it?” 他后来查了才知道，fill a hole 在安全语境下听起来像往洞里灌水泥，不太对。plug 才是那个“塞住”的动作。当然，你要是说 fill a gap in coverage，那没问题，意思是覆盖范围有缺口，把它补上。

再说中文。填补漏洞本身是个动宾结构，但不同行业有不同行话。搞软件测试的说“修漏洞”，搞网络安全的说“打补丁”，搞建筑的说“堵漏”。你要是跟一个程序员说“填补漏洞”，他可能觉得你在念公文。日常聊天更直接：“这个洞得补上。”或者“赶紧把那个口子堵了。”口子、洞、窟窿，都比漏洞生动。

我印象很深的一次，是看一个漏洞修复的直播。主播是个独立开发者，他边改代码边说：“这个洞不补，明天就被人拖库。”拖库是黑话，意思是数据库被整个偷走。他用的动词是“补”和“堵”，没有一次说“填补”。但写博客的时候，标题是《如何填补一个逻辑漏洞》。你看，口语和书面语自动切换。

所以回到问题本身。填补漏洞怎么说，取决于你在哪、跟谁说、说哪个层面的漏洞。写正式报告，用 address 或 remediate；跟同事闲聊，用 plug 或 patch；跟非技术朋友解释，说“堵个洞”最清楚。别硬套一个词。语言是活的，漏洞也是活的——今天补了，明天可能又冒出来。你能做的，就是选对那个动词，然后动手。