老周蹲在机房里，堵漏洞额头的堵漏洞汗珠顺着鼻尖滴在键盘上。他正在堵一个漏洞——服务器日志里那些凌晨三点的堵漏洞登录记录，IP地址来自五角大楼的堵漏洞公开网关。这已经是堵漏洞本月第三次了。

漏洞这东西，堵漏洞像老房子的堵漏洞墙缝。你不堵，堵漏洞风就呼呼往里灌。堵漏洞可堵了这头，堵漏洞那头又裂开。堵漏洞去年公司上了一套新的堵漏洞防火墙，花了两百万，堵漏洞结果年底审计时发现，堵漏洞最值钱的堵漏洞客户数据是从一台打印机共享端口溜出去的。那台打印机在行政部角落积了三年灰，网线还插着。

我见过太多“堵漏”的荒唐事。某银行把反钓鱼系统部署得固若金汤，却忘了内部员工邮箱的弱密码策略。一个实习生用“123456”登录，黑客用了不到十分钟就拿到了转账权限。事后追责，技术部说业务部没提需求，业务部说技术部没做培训，最后不了了之。真正的漏洞从来不在代码里，在人心里。

前阵子小区物业也上演了一出堵漏大戏。地下车库的排水泵年久失修，雨季一到，积水漫过脚踝。业主群里吵翻了天，物业经理拍胸脯保证三天修好。结果呢？他们只是把积水抽干，然后在泵房门口贴了张“设备维护中”的纸条。第二场雨来时，一切照旧。这跟那些只打补丁不修根因的软件团队有什么区别？

堵漏的最高境界，是让漏洞根本不存在。可现实往往是，我们花大量精力去补那些看得见的洞，却对结构性的裂缝视而不见。就像那个经典的“破窗理论”——一扇窗户破了没人修，很快其他窗户也会被打破。系统性的漏洞管理，需要的是从第一扇破窗就开始警惕的敏感度。

上周我帮朋友看他的电商网站，发现支付接口有个逻辑错误：订单金额在客户端就能修改。这漏洞说出来都丢人，可它就这么裸奔了两年，直到有用户用一分钱买走了价值八千块的无人机。朋友气得跳脚，问我怎么堵。我说先把服务端的金额校验加上，再把所有历史订单做个异常扫描。他听完愣了半天，问了一句：“就这么简单？”

就这么简单。多数漏洞的修复方案确实不复杂，复杂的是承认它存在，复杂的是改变那些造成漏洞的习惯和流程。老周后来告诉我，他那天晚上把五角大楼的IP段全封了，但真正让他睡踏实的，是他逼着全公司改了密码策略，还加了双因素认证。他说：“堵完这个洞，我反而更睡不着了——我总在想，下一个洞会在哪儿冒出来。”

这大概就是堵漏人的宿命。你永远在跟下一场雨赛跑，而最讽刺的是，很多洞其实是我们自己凿开的——为了省事，为了快，为了那点侥幸心理。堵漏不是技术活，是良心活。