漏洞薅羊毛

2018年11月，漏洞某电商平台的薅羊后台运营发现了一件怪事：一款标价39元的蓝牙耳机，在凌晨2点到4点之间被连续下单了三千多笔，漏洞每笔订单都使用了同一个优惠券代码，薅羊而这个代码对应的漏洞满减规则是“满39减38”。也就是薅羊说，每单只花1块钱。漏洞

运营当时就懵了。薅羊这个优惠券是漏洞三天前做活动时设的，原意是薅羊“满39减8”，但负责配置的漏洞小哥手一抖，把8打成了38。薅羊他也没测试，漏洞直接上线了。薅羊更离谱的漏洞是，这个券没有设置每人限领次数，也没有绑定用户ID。于是，有人发现了这个漏洞，然后一传十，十传百，羊毛党像闻到血腥味的鲨鱼一样扑了过来。

这就是典型的“漏洞薅羊毛”。

说白了，它跟正经的促销薅羊毛是两码事。正经薅羊毛是平台设计好的规则，你按规则玩，平台赚流量你赚便宜，双赢。漏洞薅羊毛呢？是平台自己出了bug，规则写错了、逻辑有缺陷、风控没拦住，然后被用户钻了空子。这个空子可能是价格设错、优惠券叠加异常、退款逻辑有漏洞、积分兑换比例搞反了，甚至是一行代码写错了导致可以无限领券。

我见过最狠的一个案例，是某生鲜平台的新用户首单立减20元。正常情况下，一个手机号只能注册一次，享受一次优惠。但有人发现，这个平台只校验了手机号，没校验设备。于是他用一个手机号，配合接码平台，换了上百个虚拟号码，每个号码都注册新账号，每个账号都下一单。最后他花了几块钱成本，搬空了半个仓库的鸡蛋和牛奶。平台那边呢？风控系统直到第三天早上才报警，因为订单量突然暴涨，但客单价低得离谱。

为什么漏洞薅羊毛屡禁不止？

一个原因是，互联网产品的迭代速度太快了。运营要上活动，开发要赶进度，测试时间被压缩得可怜。很多优惠规则是运营在后台手动配置的，没有经过严格的代码审查。人总会犯错，而错误一旦上线，面对的是成千上万的用户，其中总有一小撮人，专门盯着这些错误。

另一个原因是，羊毛党已经产业化了。他们有群、有工具、有脚本，甚至有人专门写程序去扫描各大平台的优惠页面，一旦发现异常低价或者逻辑漏洞，立刻自动化下单。普通人还没反应过来，货已经被撸完了。

那平台就没办法了吗？也不是。

有些平台会做“兜底策略”。比如，优惠券金额超过某个阈值时，强制人工审核。或者，同一设备、同一IP、同一收货地址，短时间内大量下单，直接触发风控拦截。还有的平台会在活动上线前做“灰度测试”，先放一小部分用户进来，看看有没有异常。但说实话，这些手段都是事后补救，真正要解决问题，还得从源头抓起——运营配置规则时多检查一遍，开发写代码时多想一步，测试上线前多跑一遍边界用例。

我认识一个做风控的朋友，他说过一句话让我印象很深：“漏洞薅羊毛的本质，不是用户太狡猾，而是平台太粗心。”这话有点绝对，但道理不假。绝大多数漏洞，都是因为某个环节的疏忽造成的。而羊毛党，只是恰好路过，然后顺手牵了羊。

最后说个有意思的事。前面提到的那个蓝牙耳机漏洞，平台后来没有追究用户的责任，而是直接发了货。为什么？因为算下来，三千多单，每单亏38块，总共亏了不到12万。但如果他们选择不发货、跟用户扯皮，公关成本、法律成本、品牌信誉损失，可能远远超过12万。所以有时候，平台选择认栽，不是因为大方，而是因为算账之后发现，认栽更划算。

但这不代表漏洞可以被容忍。毕竟，不是每次漏洞都只亏12万。有些漏洞，能直接让一家公司破产。