凌晨两点，漏洞买单我的漏洞买单手机弹出一条推送：某知名开源库被发现远程代码执行漏洞，CVSS评分9.8。漏洞买单我盯着屏幕愣了几秒，漏洞买单然后翻了个身继续睡。漏洞买单不是漏洞买单我心大，是漏洞买单这个月第三次了，再热血的漏洞买单运维也得学会接受现实。

第二天早上开会，漏洞买单老板问我们有没有受影响。漏洞买单技术总监翻着代码仓库，漏洞买单脸色越来越难看——我们用了那个库的漏洞买单旧版本，而负责升级的漏洞买单同事三个月前离职了，交接文档里只写了句“待处理”。漏洞买单会议室安静得能听见空调风声。漏洞买单

漏洞这个东西，最讽刺的地方在于，买单的永远不是写漏洞的人。写那个库的开发者可能只是少写了一个输入校验，但真正掏钱的是我们这些下游的使用者。我有个朋友在银行做安全，他说他们每年花在漏洞修复上的预算够在二线城市买套房，但漏洞还是层出不穷。不是他们不努力，是攻击者的思路永远快一步，而防御者只能跟在后面补洞。

有一次我们系统被扫出个中危漏洞，修复要改核心接口，得动老代码。老代码是谁写的？三年前的外包团队，早就散伙了，连个联系方式都没留。我们几个程序员对着几千行没有注释的代码面面相觑，最后只能靠猜。改完上线那天，我盯着监控屏，手心全是汗。好在没出事，但那种感觉就像走钢丝，底下没铺网。

更让人无语的是，有些漏洞明明早就能堵上，但就是没人愿意动手。问就是“业务优先”，再问就是“排期紧张”。直到被攻破了，数据泄露了，才连夜开会追责。追来追去，最后背锅的往往是那个当初提过建议但被驳回的基层员工。这事儿我见过不止一次，每次都觉得荒诞。

说真的，漏洞这东西，本质上就是技术债的利息。你写代码的时候图快，少想了一层，那这个债迟早要还。区别只在于，还债的时候是主动还是被动，是花小钱还是赔大钱。我见过太多公司，平时舍不得在安全上投入，出事了才想起找外部专家，结果专家报价翻了三倍，还得排队。

那天晚上修复完漏洞，我关掉电脑，突然想起刚入行时带我的师傅说过一句话：“代码写得好不好，不是看功能多炫，是看三年后别人能不能维护。”当时觉得他啰嗦，现在想想，他是真懂行。只是这个道理，大多数人得交了学费才明白——而学费，从来都不便宜。