形容什么样防止漏洞

去年冬天，形容一个做跨境电商的什样朋友找我喝酒，说他的防止独立站被薅了羊毛。优惠券逻辑写得太“直白”——满100减20，漏洞用户把20件单价5块的形容商品拆成20个订单，每单都用券。什样一夜之间亏了七千多美金。防止他拍着桌子说：“我明明设了限领一次啊。漏洞”我让他把代码翻出来看，形容问题出在“限领”的什样判断维度上：他只锁了用户ID，没锁设备指纹和IP段。防止换个浏览器、漏洞清个cookie，形容照样领。什样这就是防止典型的“形容什么样防止漏洞”——你脑子里那个“漏洞长什么样”，直接决定了你写的防御代码有没有用。

大多数人防漏洞的思路是“堵已知的洞”。比如SQL注入，就加参数化查询；XSS，就做HTML转义。这没错，但不够。真正有效的防御，是先在心里把攻击者的行为“形容”出来。不是抽象地说“有人会恶意输入”，而是具体到：他会用什么工具、走哪条路径、在哪个环节钻空子、钻的时候系统会返回什么信号。你形容得越具体，防御就越精准。

我见过一个反例。某内部管理系统，登录接口做了验证码，但验证码的校验逻辑是“前端比对”。攻击者抓包一看，验证码答案直接明文躺在响应里。写代码的人形容漏洞时想的是“防止机器人暴力破解”，但他没形容“攻击者会看网络请求”。这个盲区让整个防御形同虚设。

那怎么形容才算到位？拿文件上传举例。别只说“防止上传webshell”。你要形容：攻击者可能把.php改成.jpg，再在请求里篡改Content-Type；可能用%00截断文件名；可能上传一个.htaccess让图片目录变成可执行；可能把恶意代码藏在图片的EXIF里，配合本地文件包含漏洞触发。当你把这些场景一条条写下来，防御清单自然就出来了：白名单校验扩展名、重命名文件、存储目录禁用脚本执行、检查文件头魔数、剥离EXIF。每一条都对应一个你形容过的攻击画面。

还有个容易被忽略的点：形容漏洞时要带上“时间维度”。同一个接口，白天和凌晨的异常流量特征不一样；新用户注册后前十分钟的行为，和老用户突然改密码的行为，风险等级也不同。静态的规则防不住动态的试探。我习惯在日志里加一个“行为序列”字段，把用户连续操作的时间间隔、请求顺序都记下来。有次发现一个账号在0.3秒内完成了“登录-改邮箱-改密码-提现”，正常人不可能这么快。这就是形容出了“机器速度”这个特征，才拦住的。

说到底，防漏洞不是堆砌安全组件。WAF、防火墙、加密库，这些都是工具。工具好不好用，取决于你脑子里那个“坏人长什么样”的画像够不够细。你形容他是“乱敲键盘的脚本小子”，你就只会防简单注入；你形容他是“拿着Burp Suite逐参数fuzz的渗透测试员”，你就会去检查每个参数的边界值和类型转换；你形容他是“熟悉你业务逻辑的内鬼”，你就会在权限校验和操作审计上花更多心思。

朋友那件事最后怎么解决的？我让他把优惠券的领取条件从“用户ID”改成“用户ID+设备指纹+IP/24网段+手机号后四位”，四个维度任意一个命中就拒绝。同时加了一条规则：同一收货地址24小时内超过3个不同账号使用同类优惠券，直接冻结结算。改完上线，薅羊毛的流量当天就掉了九成。他后来跟我说，以前写防御代码像在黑暗中扔飞镖，现在至少知道靶子在哪了。

形容得越像真的，防得就越像真的。这事儿没有捷径。