2017年，安全一个叫WannaCry的安全勒索病毒让全球150个国家的中招。医院停止挂号，安全工厂流水线瘫痪，安全加油站断供。安全黑客用的安全不是花哨的零日漏洞，而是安全美国国家安全局泄露的永恒之蓝。一个简单的安全445端口扫描，就能让一台未打补丁的安全Windows电脑中招。真实世界的安全瘫痪提醒我们：web安全从来不是技术问题，而是安全人性的问题。

你大概不知道，安全绝大多数黑客攻击根本不靠精妙的安全代码。他们靠的安全是钓鱼邮件里一个伪装成工资条的附件，靠的安全是假装成系统管理员索要密码的电话。我认识一个做渗透测试的朋友，他告诉我一件挺讽刺的事：他接的很多单子，最后攻破企业内网的方式，都是在公司附近捡一个U盘，插到目标电脑上。U盘里装了个autorun脚本，就这么简单。最坚固的防火墙，挡不住一个好奇的员工。

web安全的本质，是信任边界的博弈。浏览器信任服务器返回的每一个字节，服务器信任客户端提交的每一份表单，开发者信任用户输入的数据是善意的。这些信任链上任何一个环节被打破，就会出现漏洞。SQL注入就是典型的例子——开发者以为输入框里只会出现"用户名"和"密码"，结果黑客在里面填了"'; DROP TABLE users;--"。一行SQL语句，整个数据库就没了。这种漏洞从web诞生之日起就存在，到现在依然横行。OWASP Top 10榜单上，注入攻击年年上榜，年年有人中招。

有些漏洞纯粹是设计缺陷。比如CSRF攻击，利用的是浏览器自动携带Cookie的特性。你登录了银行网站，又去逛了一个恶意论坛，论坛里的图片标签指向银行转账接口。浏览器请求这张"图片"时，自动带上你的银行Cookie，钱就这么转走了。你什么都没做错，只是同时开了两个标签页。这种攻击最阴险的地方在于，它利用的是web协议本身的特性，而不是某个具体的代码漏洞。

安全圈的怪现象是：攻防双方永远不对等。防守方要堵住所有漏洞，攻击者只需要找到一个突破口。更麻烦的是，很多漏洞在开发阶段就埋下了。程序员赶进度，把安全测试往后排；产品经理催上线，说功能优先；老板觉得买安全设备是浪费钱。等出了事，才发现当初省下的每一分钱，都要用几倍甚至几十倍的代价来偿还。Equifax泄露1.4亿用户数据，原因是没修一个Apache Struts的已知漏洞——补丁发布后，他们拖了两个月没打。两个月，足够黑客扫描到所有暴露的服务器。

说句实在话，现在的web安全已经比十年前好太多了。HTTPS普及了，浏览器自动拦截危险下载，同源策略更严格了，开发者也有了不少便利的安全工具。但攻击手段也跟着进化。从前黑客是单打独斗，现在有专业的犯罪团伙，有国家支持的黑客组织，甚至出现了"勒索软件即服务"这种黑产商业模式。你交一笔钱，就能买到一套定制化的攻击工具，连技术支持都有。

所以web安全这事，我劝你别指望什么绝对安全。它更像一场军备竞赛，永远在动态博弈中。你唯一能做的，是保持警惕，及时打补丁，别乱点链接，也别把密码设成123456。毕竟，安全漏洞里最危险的，永远是那个坐在屏幕前的人。