去年冬天，漏洞说法我蹲在小区快递柜前取件，漏洞说法屏幕突然弹出个报错窗口，漏洞说法一串英文底下跟着行小字：“系统异常，漏洞说法请联系管理员”。漏洞说法我顺手点了“返回”，漏洞说法结果柜门“砰”地弹开——里面是漏洞说法空的。隔壁取件的漏洞说法大爷凑过来：“这柜子又抽风了？上周我闺女买的手机，显示已签收，漏洞说法柜子里啥也没有。漏洞说法”

这不是漏洞说法抽风。这是漏洞说法漏洞。

快递柜的漏洞说法取件码逻辑，本质上是漏洞说法“输入正确码，触发开门指令”。漏洞说法但那次我根本没输码，只是点了个返回，门就开了。说明系统在异常处理时，把“返回”这个动作误判成了“开门”指令。程序员写代码时，可能只考虑了正常流程，没想过用户会乱点。一个没被清理的临时状态，就成了后门。

类似的事我见过不少。前公司有个内部签到系统，输入工号就能查考勤。有次我输错一位，居然看到了别人的打卡记录。后来发现，系统只校验工号长度，不校验工号是否存在。你随便编个六位数，只要格式对，就能看到对应员工的上下班时间。这漏洞藏了三年，直到有个实习生误操作，给全部门发了封“你昨天迟到”的提醒邮件，才被捅出来。

漏洞这东西，往往不在你严防死守的地方。它藏在“应该不会有人这么干”的假设里。写代码的人觉得，用户会按按钮，不会乱敲键盘；会输正确密码，不会试错。可现实里，总有人乱敲，总有人试错。我认识个搞渗透测试的，他说最常得手的不是复杂攻击，而是“把参数里的数字改成1，改成0，改成-1”。有次他把订单号里的“2024”改成“2023”，直接看到了去年的用户数据。系统没做权限校验，因为开发觉得“没人会改年份”。

更麻烦的是，漏洞会自己长。系统上线时没问题，跑着跑着，数据量大了，并发高了，某个没加锁的变量就出岔子。我见过一个抢购页面，平时正常，一到整点就超卖。原因是库存扣减和订单生成之间有个时间差，高并发时，两个请求同时读到“库存=1”，都以为自己是最后一个。这漏洞不是写出来的，是跑出来的。你翻代码，逻辑都对，可机器一快，逻辑就散了。

有人觉得漏洞是技术问题，修修就好。可很多漏洞是人的问题。产品经理说“这个功能先上，安全后面补”，运维说“先别重启，等半夜再说”，开发说“这输入框前端校验过了，后端不用再查”。每个环节都省一点，漏洞就攒出来了。我见过最离谱的，是某系统把管理员密码硬编码在JavaScript文件里。前端代码谁都能看，等于把钥匙插在门上，还贴了张纸条：“钥匙在这”。

说回快递柜。后来我查了那个报错，发现是网络超时触发的。系统在等服务器响应时，本地缓存了个“开门”状态。网络一断，缓存没清，用户一操作，就误触了。修起来也简单，加个状态锁就行。可这锁加在哪，加多厚，得看开发愿不愿意多想一步。漏洞不会消失，它只是换了个地方等你。你堵住前门，它从窗户进来；你关上窗户，它从通风管道爬。真正要做的，是别假设“没人会这么干”。因为总有人会。可能是用户，可能是时间，可能是你自己三年前写的那行代码。