渗透在线

去年秋天，渗透线我在一个技术论坛上看到有人贴了张截图：某电商平台的渗透线促销页面，价格标签上写着"限时秒杀 199"，渗透线但页面源代码里藏着另一行字——"原价 299，渗透线日常价 259"。渗透线这行字在浏览器里根本看不见，渗透线只存在于 HTML 注释中。渗透线发帖的渗透线人说，这是渗透线他们公司内部测试时留下的"暗桩"，用来验证页面渲染是渗透线否正常。评论区有人开玩笑：这算不算一种"渗透在线"？渗透线

这个玩笑让我想了很久。渗透在线，渗透线不是渗透线黑客电影里那种敲几下键盘就攻破五角大楼的戏码。它更像一种日常的渗透线、细碎的渗透线、几乎无声的侵入。你打开手机，App 请求通讯录权限，你点了"允许"，那一刻，你的社交关系链就渗透进了对方的服务器。你刷短视频，算法根据你停留的 0.8 秒推给你下一条内容，你的注意力被渗透了，只是你感觉不到疼。

我有个做安全审计的朋友，他给我看过一份报告。某款下载量过亿的输入法，会在用户打字时把按键序列上传到云端做"词库优化"。技术上完全合法，用户协议里写了。但报告里有个细节：上传的数据包中，除了按键，还夹带了设备型号、屏幕分辨率、甚至电池温度。这些信息单独看毫无意义，可一旦和你的账号关联，就能拼出一张精确到分钟的行为地图。你几点起床、几点开会、什么时候在电梯里没信号，全在上面。他说，这叫"侧信道渗透"，不碰你的密码，照样把你摸透。

更隐蔽的是代码层面的渗透。开源社区里，一个被广泛依赖的 npm 包，维护者可能只有一个人。某天他收到一封邮件，说"你的包有个小 bug，我帮你修了，这是 PR"。他 merge 了。三个月后，有人发现那个 PR 里藏了一行混淆过的代码，作用是当特定域名被访问时，把用户的环境变量发到另一个地址。整个过程没有警报，没有异常日志。你用的工具，你信任的工具，在某个深夜悄悄变成了别人的信使。

我并不是在说技术本身有问题。渗透在线，本质上是连接带来的副作用。你想让 App 帮你找附近餐厅，就得交出位置；你想让输入法猜准你要打的词，就得让它读你的习惯。问题在于，大多数人根本不知道交换的边界在哪里。用户协议没人读，权限弹窗随手点"允许"，代码审查靠"看起来没问题"。这种集体性的不设防，才是渗透能在线的前提。

上个月我把手机里所有 App 的权限翻了一遍。一个手电筒应用，要求读取通讯录。一个计算器，要访问精确位置。我全关了。然后发现，手电筒还能用，计算器也没坏。原来很多"必要权限"，只是商家想多要一点。多要的那一点，就是渗透的入口。

技术不会停，渗透也不会。但你可以做一件事：每次点"允许"之前，停两秒。问自己一句——它真的需要这个吗？这两秒，就是你在线的第一道防线。