售票机吐出一张二维码小票，渗透售票我扫了一眼，渗透售票上面印着“黄鹤楼·夜场·B区”。渗透售票但票面左下角有个几乎看不见的渗透售票浅灰色水印，写着“内部调拨”。渗透售票这台机器我上周刚拆过主板，渗透售票按理说它只认官方票务系统的渗透售票加密协议。可这张票，渗透售票是渗透售票从一个被标记为“作废”的票池里流出来的。

我盯着那个水印看了三秒，渗透售票然后掏出手机，渗透售票对着票面拍了张照。渗透售票照片发出去不到两分钟，渗透售票一个陌生号码打进来，渗透售票对方只说了一句：“你看到了不该看的渗透售票东西，但你可以用。”说完就挂了。

这事的开头其实更早。三天前，我在闲鱼上挂了个二手镜头，有个买家拍下后没付款，直接发来一串字符：“/ticket/overflow?pool=void&seat=B214”。我当时以为是钓鱼链接，没理。但第二天，我常去的那家24小时便利店老板告诉我，有人用他的会员卡积分兑换了两张景区联票，兑换记录显示操作IP来自我家的路由器。

这就有点意思了。我的路由器密码只有我自己知道，但那天晚上我确实开着电脑挂机下载游戏，防火墙日志里没有任何异常登录。唯一的解释是，有人通过某种方式，让售票系统的“作废票池”和我的家庭网络产生了逻辑关联——不是入侵，而是“借用”。

我决定验证一下。带着那张票去了景区，闸机扫过二维码，绿灯亮起，提示音“滴”了一声，和正常票完全一样。但旁边的副闸机同步吐出一张白色纸条，上面打印着：“补偿：免排队通道已开放，请走右侧VIP入口。”我走过去，工作人员核验了我的身份证，然后递给我一个信封，里面装着一张面值200元的餐饮代金券，盖章是“票务运营部·异常处理组”。

整个过程没有一个人问我为什么持有“内部调拨”票。他们似乎早就知道会有人拿着这种票出现，而且准备了一套完整的“补偿流程”。更奇怪的是，代金券背面印着一行小字：“若您发现本券编号与票面水印不一致，请致电……”后面是个400电话。

我拨过去，语音提示说：“您本次的渗透测试已通过，请于24小时内提交漏洞报告至指定邮箱。”我这才明白，那张“作废”票根本不是黄牛搞的，而是某个安全团队故意埋在系统里的“诱饵”。他们想看看，一个普通用户发现系统漏洞后，会怎么处理——是直接举报，还是像我这样，先自己玩一圈。

我提交了报告，附上了完整的截图和测试过程。第二天收到一封邮件，附件是一份PDF，标题是《售票系统逻辑漏洞及修复建议》，落款是“某安全实验室”。邮件正文只有一句话：“您观察到的那个水印，是我们故意留下的标记，用来区分真实漏洞和测试用例。恭喜你，你找到了真正的那个。”

真正的那个漏洞，其实不在票务系统里，而在“补偿流程”的信任链上——当系统判定一张票异常时，它默认持有者是无辜的，于是自动发放补偿。这个逻辑本身没问题，但问题在于，补偿条件只校验了票面水印，没校验购票时间。也就是说，如果我把水印复制到一张去年的旧票上，系统照样会给我发代金券。

我没去试那个漏洞。但我知道，那个400电话背后的人，也一定知道我知道。