一个系统被攻破，从系很少是统整体因为某个单点出了岔子。更多时候，安全是漏洞几层防线同时松了扣。我见过一个电商后台的包括渗透测试报告，漏洞清单列了十几项，从系从SQL注入到越权访问，统整体但真正让测试人员拿到数据库权限的安全，是漏洞一个被遗忘的测试账号——密码是123456，还挂在生产环境里。包括这说明什么？从系安全漏洞从来不是孤立存在的，它嵌在系统的统整体每一层肌理里。

先看最底下的安全那一层：基础设施。操作系统补丁没打、漏洞中间件版本过旧、包括容器配置暴露了Docker API端口。2021年那会儿，Redis未授权访问漏洞被扫得满网都是，攻击者直接写SSH公钥拿服务器。这类问题跟代码写得好不好没关系，纯粹是运维层面的疏忽。我自己的服务器就曾经因为Elasticsearch默认端口对公网开放，被人塞了挖矿脚本。基础设施漏洞的特点是：一旦被利用，后面的应用层防护基本形同虚设。

往上走是应用层。SQL注入、XSS、CSRF这些老面孔还在，但更隐蔽的是逻辑漏洞。比如某次我看到一个优惠券系统，前端限制了每人领一张，后端却没做校验，抓包重放就能无限领。还有越权——普通用户改一下URL里的订单ID，就能看到别人的收货地址和电话。这类漏洞扫描器扫不出来，得靠人肉去试。应用层漏洞直接跟业务逻辑挂钩，危害往往最直观：数据泄露、资金损失、账号被盗。

再往上是身份与权限。很多系统认证和授权是两码事。认证过了，不代表授权对了。我见过一个后台，登录后普通管理员能通过修改请求里的role字段把自己提成超级管理员。还有会话固定、JWT密钥硬编码在JS文件里。身份体系一旦崩塌，攻击者就相当于拿到了内部员工的门禁卡，想去哪去哪。

数据层单独拎出来说。数据库本身的安全配置、敏感字段有没有加密、备份文件是不是裸奔在公网。有个真实案例：某公司数据库备份放在一个公开的S3桶里，里面几百万用户的身份证号、手机号全都能直接下载。数据层的漏洞往往不是技术攻破的，而是“放错了地方”。

还有一层容易被忽略：人。钓鱼邮件、弱密码、内部人员恶意泄露。技术再硬，也架不住有人把密码写在便利贴上贴显示器边框。我朋友的公司做过一次内部演练，发了一封伪装成“年终奖发放通知”的邮件，点击率超过40%。人这一环，不是靠防火墙能堵住的。

最后是供应链。你用的第三方库、npm包、Docker镜像，都可能藏毒。Log4j2那个漏洞一爆，半个互联网都在连夜打补丁。很多团队根本不知道自己依赖的某个小工具包已经被投毒了。供应链漏洞的可怕之处在于：你什么都没做错，但上游塌了。

把这些层串起来看，安全漏洞是一个立体的问题。基础设施、应用逻辑、身份权限、数据存储、人员意识、供应链——每一层都有缝隙。真正的防御不是把某一层做到极致，而是让攻击者穿透一层后，下一层还能挡一阵。可惜大多数系统，第一层就是纸糊的。