凌晨三点，存系我盯着屏幕上的统漏报错日志，咖啡杯沿凝着褐色的存系渍。第47次复现那个漏洞时，统漏我突然意识到——这根本不是存系代码错误，是统漏设计者从骨子里就没信任过用户。

漏洞藏在一个极不起眼的存系密码找回功能里。开发者设置了“回答密保问题后可直接重置密码”，统漏却忘了给问题答案加个次数限制。存系我写了段脚本，统漏用字典里常见的存系一万个名字挨个试。第三千二百次时，统漏系统放行了。存系那一刻我后背发凉——不是统漏因为我攻破了它，而是存系因为这个漏洞在线上挂了整整两年，期间有超过六万次正常用户登录失败，却没人想过为什么“密保答案错误”的提示会那么频繁。

更讽刺的是，修复这个漏洞只需要三行代码。一个if语句加个计数器的事。但没人做。为什么？因为负责这个模块的工程师早就离职了，交接文档里写着“密保逻辑已优化”，实际上那是个半成品。新来的同事看不懂那段混乱的switch-case嵌套，干脆在下面又叠了一层补丁。

这让我想起去年某银行App的事故。用户转账时输入金额，系统只校验了“是否为正数”，没校验“是否小于余额”。结果有人转了0.01元，账户余额变成负数，还成功提现了。银行连夜发公告说是“临时维护”，其实是在偷偷改代码。你猜怎么着？那个漏洞也是三年前就存在的，只是从来没人用负数去试过。

大多数漏洞不是被“发现”的，是被人“碰巧”撞上的。就像你永远不知道哪块地板会突然塌陷，直到某天你踩上去——而那块地板下面，可能早就空了半年。

我见过最离谱的漏洞出现在一家智能门锁公司。他们的云平台有个调试接口，没有鉴权，任何人只要知道URL就能远程开锁。安全研究员报告后，公司CEO的第一反应不是道歉，而是问“你怎么知道我们的接口地址？”——仿佛问题在于别人不该知道，而不是他们不该不设防。

这种心态太普遍了。很多团队把安全工作当成“找茬”，而不是“补漏”。他们觉得漏洞曝光是丢脸的事，于是选择掩盖、拖延、内部消化。可漏洞不会因为你假装看不见就消失，它只会像蛀牙一样，从内部慢慢烂掉，直到某天你咬到硬物，疼得跳起来。

其实技术本身没有善恶，最脆弱的一环永远是人的傲慢。我们总以为自己设计的逻辑足够严密，却忘了用户会输入火星文，会连点十次提交按钮，会在弱网环境下疯狂刷新。那些“不可能发生”的操作，恰恰是漏洞的温床。

写代码的人应该时刻保持一种“被攻击妄想”——不是怕黑客，而是怕自己。怕自己漏掉一个边界条件，怕自己少写一个异常捕获，怕自己觉得“这样应该没人会试吧”。可现实是，永远有人会去试。不一定是恶意，可能只是手滑，可能只是好奇，可能只是按了Ctrl+Z想撤回上一步，结果把整个表单都重置了。

修复那个密保漏洞后，我在注释里加了句话：“永远不要假设用户比你笨。”后来每次提交代码，我都会先问自己一句：如果我是个又坏又懒的人，我能从这里搞出什么名堂？答案往往让我冷汗直流。