凌晨两点十七分，网站我盯着屏幕上那个购物网站的漏洞源代码，后背发凉。网站不是漏洞因为我发现了什么高深的黑客技巧，恰恰相反——这个号称日活百万的网站电商平台，它的漏洞用户登录接口居然连最基本的验证码都没有，密码字段直接明文传输。网站我用浏览器自带的漏洞开发者工具，三分钟就模拟出了任意用户的网站登录请求。

这不是漏洞个例。上个月帮朋友排查他公司官网，网站后台管理地址就硬编码在页面底部注释里，漏洞管理员账号密码是网站admin/admin888。我问运维为什么这么干，漏洞他说“方便啊，网站改个配置还得走流程，太麻烦了”。麻烦？黑客入侵的时候可一点都不麻烦。去年某省政务系统被拖库，事后调查发现漏洞竟然是一个外包程序员留下的测试后门，那个后门代码注释里还写着“上完线记得删”。

我见过太多“差不多先生”式的开发了。测试环境跟生产环境共用数据库的，第三方插件版本停留在五年前的，接口权限全靠前端按钮隐藏来控制的。这些不是技术难题，是态度问题。有个做金融系统的朋友跟我说过一句糙理不糙的话：“我们写代码就像在银行金库里堆炸药，知道会炸，但都赌自己下班前不炸。”

去年某共享单车平台泄露用户位置数据，我扒了他们的技术文档，发现定位接口连HTTPS都没部署，全程裸奔。客服回应说“技术团队正在全力修复”，可我在漏洞平台上看到，这个漏洞半年前就有人提交了，一直显示“已收到，待处理”。半年时间，够一个黑客把你数据库翻个底朝天再卖三遍了。

你说这些企业缺钱吗？融资都融到D轮了。缺人吗？招聘页面上写着“资深安全工程师，年薪百万”。但就是没人把安全当回事。因为安全不出成果，不产生KPI，老板看不见。就像家里的灭火器，谁家也不会天天盯着它看，直到真着火那天才想起来，可那时候已经晚了。

有个细节我想提一下。某次安全沙龙上，一个白帽子展示了他如何利用某知名APP的密码找回逻辑漏洞，直接修改任意用户手机号。全场哗然，但该公司的技术总监坐在台下，表情平静得像在听别人的故事。会后我问他怎么看，他苦笑着说：“我知道，但修复要动核心业务表结构，产品经理说改动会影响新功能上线进度。”你看，在商业利益面前，安全永远是后娘养的。

更可笑的是，很多网站连最基础的“输入过滤”都做不好。SQL注入这种上世纪就存在的攻击手法，现在依然能在各大网站排行榜上横行霸道。我测试过一个小型招聘网站，在搜索框输入单引号，页面直接报错，把完整SQL语句都吐出来了。这就像你家门锁坏了，小偷还没撬，门自己就开了，还附赠一张室内地图。

别指望监管能解决所有问题。等漏洞被曝光、数据被泄露、用户找上门，那时候再补救，成本是提前修复的十倍不止。那些还在为“先上线再补”找借口的人，我劝你们去看看去年某银行系统崩溃时，用户排队三小时取不出钱的新闻——技术债，早晚是要还的，连本带利。