破解漏洞

凌晨三点，破解漏洞我盯着屏幕上那行报错日志，破解漏洞咖啡杯沿的破解漏洞指纹已经干成了白色弧线。问题出在登录接口——不是破解漏洞密码错误，也不是破解漏洞token过期，而是破解漏洞当请求里同时携带两个同名参数时，后端会鬼使神差地采用第一个值做校验，破解漏洞用第二个值去执行业务逻辑。破解漏洞就这么个毫秒级的破解漏洞缝隙，足够让攻击者绕过身份验证，破解漏洞直接以管理员身份躺进数据库。破解漏洞

这不是破解漏洞什么高深的零日漏洞。它老老实实躺在那里，破解漏洞像一扇没锁的破解漏洞后门，门把手上甚至贴了张纸条：“请随手关门”。破解漏洞但没人关。代码是半年前重构时留下的，当时为了兼容旧版客户端，工程师在控制器里加了个参数覆盖逻辑，没写注释，也没人review出问题。上线那天测试全绿，因为测试用例里从来没人会故意传两个相同的参数。

我花了两小时复现攻击路径，越复现越觉得荒诞——整个链条简单得像在幼儿园滑梯上放了个香蕉皮。攻击者只需要用curl发一个请求，把admin参数放在user参数前面，系统就会先验证user的权限，再用admin的身份去拉数据。就这么个顺序颠倒，权限边界彻底失效。更讽刺的是，修复方案只有一行代码：取参数时用lastValueOf替代firstValueOf。一行改动，漏洞直接蒸发。

但真正让我后背发凉的，不是这个漏洞本身，而是它暴露出来的思维惯性。我翻遍了团队近三个月的代码提交记录，发现类似问题至少出现过七次——都是“先校验后使用”和“先使用后校验”的顺序错位。没人故意犯错，只是大家在写代码时，脑子里默认“参数就应当只有一个值”。这种默认，就是漏洞的温床。

干这行越久，我越觉得漏洞不是技术问题，是心理问题。每个漏洞背后都藏着一个“我以为”。我以为输入是干净的，我以为框架会帮我过滤，我以为没人会这么传参。黑客从不按你的“我以为”出牌，他们专门找那些你懒得思考的角落。就像这次，攻击者甚至不用绕过验证码，不用暴力破解密码，只需要知道接口名，然后多复制一个参数。

那天下午我把修复提交上去，测试重新跑了一遍，全绿。但我知道，明天、下周、下个月，还会有新的“我以为”冒出来。代码是死的，人的思维是活的，而漏洞，就是思维在代码上留下的影子。影子没法彻底消除，只能靠一次次打光去照见它——比如给参数处理加个白名单，比如在code review时专门问一句“如果这里有第二个同名参数会怎样”，比如把“防御性编程”从口号变成肌肉记忆。

合上电脑时天已经亮了。我删掉了草稿箱里那篇准备发给全组的漏洞复盘邮件，重新写了一封。标题只有四个字：《别信参数》。正文是那张curl命令的截图，以及一行注释：你以为的边界，就是攻击者的入口。