弱点工程师这个岗位，弱点容头一回听到的工程人多半会愣一下。不是师工"弱电工程师"吗？不是。弱点工程师专门找系统的作内软肋。哪儿的弱点容权限校验能绕过去，哪段代码在极端输入下会崩，工程哪个接口没做频率限制——这些就是师工他们每天盯的东西。

我认识一个做这行的作内人，姓陈，弱点容在一家做企业级SaaS的工程公司上班。他每天的师工工作从翻代码开始。不是作内随便看看，是弱点容带着"我要搞坏它"的心态去读。上周他花了一整个上午，工程就为了确认一个文件上传功能能不能通过构造特殊文件名把文件写到系统目录里。师工试了十几种编码方式，最后用了一个混合了Unicode和URL编码的路径，成功了。他把过程写成报告，附上复现步骤和修复建议，丢给开发团队。

不是黑客，但思维方式接近

很多人把弱点工程师和渗透测试工程师混为一谈。有重叠，但侧重点不一样。渗透测试更像是一场限时考试——给定目标，在规定时间内拿下。弱点工程师更像是在做长期体检。陈每周要跑一次自动化扫描，工具会吐出几百条告警。他的活儿是从里面挑出真正有威胁的那几条。大部分是误报，或者是低危到不值得修的配置问题。但偶尔会蹦出一个让人后背发凉的东西，比如某个内部管理接口居然没有鉴权。

他跟我讲过一个案例。公司内部有个用来查日志的小工具，前端做了权限控制，只有管理员能看到入口。但后端API压根没校验用户角色。任何登录用户只要知道那个URL，就能拿到全部日志。这个漏洞在扫描报告里只标了个"中危"。陈把它提到了"高危"，理由是日志里可能包含用户手机号和订单信息。开发团队当天就修了。

写报告占了很大一部分时间

发现漏洞只是第一步。把漏洞说清楚，让开发愿意改、知道怎么改，这才是耗精力的地方。陈写报告有个习惯：不堆术语。他会用"攻击者可以做到什么"来描述，而不是"存在SQL注入点"。比如他不会写"参数未过滤导致注入"，而是写"在搜索框输入一段特殊字符，就能看到数据库里其他用户的订单记录"。开发看了就明白严重性。

他还要跟进度。有些漏洞修起来麻烦，开发会拖。他就得反复催，有时候还得帮着想临时缓解方案。比如某个第三方组件有已知漏洞但暂时没法升级，他就建议先在WAF上加一条规则挡住利用流量。这种事没有明确的流程，全靠沟通。

日常还有不少杂活

参与新功能的设计评审。开发画完架构图，陈会看一眼，问几个问题：这个接口谁能调？传参有没有长度限制？用户上传的文件存哪儿？这些问题在写代码之前问，比上线之后再补要省事得多。他还负责维护公司的漏洞管理平台，给每个漏洞打标签、定优先级、跟踪修复状态。偶尔还要给新员工做安全意识培训，讲讲钓鱼邮件怎么识别、密码怎么管。

这活儿干久了，人会变得有点多疑。陈说他现在收到任何短信里的链接，第一反应都是先看域名对不对。去餐厅扫码点餐，他会留意小程序有没有过度索权。算职业病吧。但他觉得挺好，至少自己不容易被骗。

弱点工程师不怎么出风头。系统没被攻破的时候，没人会想起他们。出了事，又容易被当成"怎么没早点发现"的那一方。陈倒看得开。他说这行就是这样，最好的结果就是无事发生。