安全漏洞哔哩哔哩

2023年11月，安全B站某UP主上传了一条视频，漏洞内容是哔哩哔关于某款热门手游的抽卡概率分析。视频发布后不到两小时，安全评论区有人贴出了一串代码——那是漏洞B站播放器API的返回数据，里面赫然包含了该视频的哔哩哔完整观看用户ID列表。这不是安全什么高深攻击，只是漏洞有人发现接口没做权限校验，把aid参数后面的哔哩哔数字改一改，就能拿到不该拿的安全东西。

我盯着那串代码看了很久。漏洞B站的哔哩哔前端团队在业内口碑不差，但这类低级漏洞隔三差五就会冒出来。安全去年是漏洞动态转发接口可以遍历用户手机号，前年是哔哩哔直播弹幕服务器泄露了推流密钥。每次都是白帽子先发现，发到漏洞平台，然后官方紧急修复，发个公告说“已修复，感谢反馈”。流程走得滴水不漏，问题是从根上没断过。

有人会说，大厂业务复杂，出点漏洞正常。这话对一半。业务复杂确实会增加攻击面，但B站的问题更多出在“快”上。新功能上线速度太快，安全评审经常被跳过。我一个在B站做过外包测试的朋友说，他们组曾经在版本发布前一天才发现某个新接口没鉴权，最后是运维临时加了层Nginx规则挡住的。代码层面的修复？排期到下个版本了。

这种“先上线再补票”的模式，在互联网公司里太常见了。B站的特殊之处在于，它的用户数据太值钱了。一个账号背后是手机号、设备信息、观看历史、充电记录、甚至实名认证。黑产市场上，B站账号的价格一直比同类平台高出一截。有需求就有动力，有人专门盯着B站的接口找漏洞，找到就打包卖给号商。

今年3月，一个叫“哔哩哔哩安全应急响应中心”的账号在GitHub上更新了漏洞接收范围。我翻了一下，发现他们把“越权访问”的奖金调高了。这说明什么？说明这类漏洞太多了，多到需要靠提高赏金来吸引白帽子优先提交。但奖金再高，也追不上新接口上线的速度。一个漏洞修了，十个新接口又出来了。

更麻烦的是，B站的很多业务是跨部门的。直播、漫画、会员购、游戏中心，每个团队都有自己的开发节奏。安全团队想统一管，但管不过来。有次一个漏洞涉及直播和主站两个系统，安全团队发了工单，两边都以为是对方修，结果拖了三天。三天里，那个接口一直被利用。

我写这些不是要唱衰B站。恰恰相反，我用了十年B站，从答题转正到年度大会员没断过。但正因为用得久，才更在意它的安全底线。一个平台可以UI丑、可以功能少，但不能让用户数据裸奔。每次漏洞曝光后，官方回复都很快，态度也好，可用户要的不是态度，是别再出同样的问题。

前几天我又试了试那个播放器接口，已经加了鉴权。但谁知道下一个接口呢？B站的技术团队不缺能力，缺的是把安全从“应急响应”变成“默认配置”的决心。这决心不是发个公告就能有的，得从排期表上把安全评审往前挪，从代码合并前加一道强制扫描，从把安全指标写进每个业务团队的KPI里。

否则，下次漏洞曝光时，我们还是会看到同样的流程：白帽子提交、官方修复、公告感谢。然后，等下一个。