我蹲在服务器日志前面整整三天，页面漏洞才找到那个漏洞。页面漏洞准确说，页面漏洞是页面漏洞页面上的一个隐藏输入框，它本该被禁用，页面漏洞却因为前端工程师少写了一行disabled代码，页面漏洞变成了一个可以注入任意内容的页面漏洞“后门”。攻击者往里面塞了一段脚本，页面漏洞每次有管理员登录后台，页面漏洞这段脚本就会悄悄往一个外部服务器发送cookie。页面漏洞

这不是页面漏洞什么高深的攻击。没有0day，页面漏洞没有缓冲区溢出，页面漏洞连SQL注入都算不上。页面漏洞就是页面漏洞一个普通的XSS——跨站脚本攻击。但就是这么一个“低级”漏洞，差点让整家公司的用户数据裸奔。

问题出在哪？出在页面上那个不起眼的“用户昵称”编辑框。开发时为了方便测试，前端留了个调试用的隐藏参数，上线时忘了删。测试人员测了所有可见功能，唯独没测这个看不见的输入框。等发现时，已经有3万多个用户的会话被劫持。

修复过程也很讽刺。删掉那行隐藏代码只花了30秒，但排查花了三天。因为没有人记得这个参数是什么时候加的，谁加的，为什么要加。代码注释里写着“临时测试用”，可这个“临时”持续了八个月。

我见过太多类似的页面漏洞。有些是逻辑漏洞——比如一个电商网站的优惠券系统，因为没限制同一账号的领取次数，被羊毛党薅走几十万。有些是权限漏洞——一个后台管理页面的URL没有做访问控制，任何人只要知道网址就能进去删数据。

最让我无语的是一个银行网站。它的转账页面有个隐藏字段叫“transfer_fee”，默认值是0.5。攻击者把页面源码保存到本地，修改这个值为-100，然后通过某种方式提交，结果系统不仅没扣手续费，反而给攻击者账户打了100块。这个漏洞存在了两年多，没人发现，因为没人会想到有人会去改隐藏字段。

页面漏洞的本质，是开发者的“想当然”。我们总以为用户会按照我们设计的路径操作，总以为隐藏的东西就安全，总以为测试覆盖了所有场景。但真实世界里的用户和攻击者，专走没人走的路。

有个老黑客跟我说过一句话，我记到现在：“页面上的每个像素，都是攻击面。”后来我做了安全测试，发现他说的没错。一个图片的alt属性可能藏注入点，一个CSS样式表可能被用来做数据窃取，甚至页面加载时的HTTP头都能成为突破口。

更麻烦的是，现在的页面越来越复杂。单页应用、微前端、服务端渲染，层层嵌套之下，漏洞藏得更深了。有时候你修好了一个XSS，却不知道同一条数据流里还有三个类似的点没被发现。

我最近在审计一个开源CMS系统，发现它的富文本编辑器有个奇怪的bug——上传图片时会附带一个额外的请求参数。翻遍文档都没找到这个参数的用途，最后在git历史里看到，这是作者为了调试图片压缩功能临时加的，后来功能做完了，代码却留下了。

这种“临时代码”就是页面上最危险的漏洞。它们像定时炸弹，不知道什么时候会被触发。我见过最夸张的一个案例，某政府网站的搜索框里藏着一个测试用的后门账号，攻击者用这个账号登录后，能看到所有公民的身份证号。

修复页面漏洞，技术手段其实很简单——输入验证、输出编码、权限检查、参数化查询，这些知识任何一本安全入门书里都有。难的是改变开发习惯。你得时刻记得：用户不傻，攻击者很聪明，页面上的每一行代码都可能被恶意利用。

我现在写代码有个习惯，每次提交前都会问自己：这个页面如果被最坏的人盯上，会发生什么？如果答案不让我安心，我就再改一遍。麻烦是麻烦了点，但总比半夜爬起来看日志强。