我盯着屏幕上那行报错信息，基本漏洞已经四十分钟了。基本漏洞程序在本地跑得顺顺当当，基本漏洞一上服务器就崩，基本漏洞日志里只有一句“segmentation fault”。基本漏洞这种时候，基本漏洞你往往能闻到代码里那股腐烂的基本漏洞气息——不是逻辑写错了，是基本漏洞某个你以为没问题的地方，藏着一个基本漏洞。基本漏洞

去年冬天，基本漏洞我接手一个老项目的基本漏洞维护。十几年的基本漏洞代码库，像一栋没人打扫的基本漏洞老房子。我找到一处内存泄漏，基本漏洞修好之后，基本漏洞系统稳定了三天。第四天，另一个地方开始出问题。同事说：“你修了一个洞，但整面墙都是漏风的。”这话糙，理不糙。基本漏洞从来不是单个bug，而是整个系统对“正确性”这件事的默认假设出了问题。

就好比你家的下水道。堵了，你通它；通了，你觉得没事了。但真正的问题是管道老化，水流稍大就溢。你通了一次又一次，每次都是治标。直到有一天，你把墙凿开，发现管子早就锈穿了。写代码也一样，那些反复出现的报错，往往指向一个你一直回避的根因。

我见过最典型的“基本漏洞”，不是技术层面的，是认知层面的。有个团队，每次发布新版本都胆战心惊，因为总有莫名其妙的线上故障。他们搞了一整套监控、告警、回滚机制，流程严谨得像军事演习。可后来发现，问题出在需求文档里——产品经理写的“用户点击后应显示结果”，从来没定义过“结果”是什么。如果加载失败呢？如果数据为空呢？如果用户连点十下呢？没人想过。于是开发按自己的理解写，测试按自己的理解验，上线后用户按自己的理解点。每个环节看起来都没错，拼在一起就是个巨大的漏洞。

这让我想起一件事。小时候家里修自行车，我爸总说：“螺丝松了，别光拧紧，看看螺纹是不是滑了。”螺纹滑了，你拧得再紧也是白搭，骑着骑着轮子就歪了。代码里的基本漏洞，往往就长在那些“大家都觉得没问题”的地方——默认输入合法，默认网络稳定，默认依赖可靠。这些默认，就是螺纹上的滑丝。

说回那个报错。后来我耐着性子，一行一行查，发现是第三方库的版本问题。那个库在某个边界条件下会返回空指针，而我的代码里，所有地方都做了判空处理，唯独漏了那一处。为什么漏？因为我写的时候，觉得那个条件“不可能出现”。你看，又是默认。

基本漏洞的名字里带着“基本”二字，不是因为它低级，而是因为它藏在最底层的地基里。你往上盖多少层楼，都改变不了地基的裂缝。唯一的办法，是时不时蹲下来，拿手电筒照照那些你从不多看一眼的角落。别嫌烦，那地方通常黑得让你发慌，但总比你某天整栋楼塌了再后悔强。