凌晨三点，现有漏洞我盯着屏幕上的现有漏洞报错日志，第无数次怀疑自己是现有漏洞不是选错了行当。那条漏洞报告像根鱼刺卡在喉咙里——某个第三方支付接口的现有漏洞校验逻辑，在特定字符组合下会直接跳过金额比对。现有漏洞理论上，现有漏洞这意味着有人能花一分钱买走整台服务器。现有漏洞

这不是现有漏洞什么高深的零日漏洞，甚至谈不上精巧。现有漏洞代码注释里还留着三年前开发者的现有漏洞吐槽：“这破接口文档写得跟天书似的，先这么凑合吧。现有漏洞”凑合的现有漏洞结果是，我们整个风控系统在某个边缘case面前形同虚设。现有漏洞黑客不需要突破防火墙，现有漏洞不需要绕过WAF，现有漏洞只需要在表单里填一串精心构造的Unicode字符。

我打电话给负责这个模块的老张。电话那头沉默了几秒，然后传来打火机的声音：“那个啊，我知道。当时排期太紧，测试用例只覆盖了常规场景。后来想补，但每次迭代都优先加新功能，这个事就一直挂着。”老张说得轻描淡写，我却听得后背发凉。他知道，我也知道，这种“暂时挂着”的漏洞就像房间里的大象——所有人都看见，所有人都选择无视。

后来我们花了整整两周修这个洞。期间又发现三个类似问题，全都在“业务优先”的旗号下被埋进技术债的坟墓。有意思的是，当我们把修复方案提交给安全评审时，对方只问了一句：“这个漏洞在漏洞库里有编号吗？”没有编号，意味着不在考核指标里，意味着优先级可以无限往后排。

这大概就是整个行业的魔幻现实。我们一边高薪聘请白帽黑客做渗透测试，一边对自家代码仓库里躺了半年的TODO注释视而不见。安全团队像个急诊科医生，天天处理各种急性漏洞，但真正要命的慢性病——那些被业务妥协、被时间遗忘、被“暂时能用”掩盖的结构性问题，反而没人愿意碰。

有个做安全研究的朋友说过一句糙话：“漏洞不是写代码时不小心犯的错，是决定写代码那一刻就注定的病。”当时觉得他矫情，现在想想，这话狠得精准。每次需求评审会上，产品经理拍着桌子说“这个功能必须周五上线”时，就已经在给未来的漏洞注射疫苗了——一种名为“侥幸”的疫苗，有效期到出事那天为止。

老张后来调去了别的项目组，临走前把那个支付模块的相关文档补全了。我在代码仓库里看到他的最后一次提交，commit message只有八个字：“还债，虽然没人逼我。”这大概就是现状——我们永远在还债，永远在补洞，永远指望下一个版本能解决所有问题。但现实是，只要还有人在赶工期，还有公司在追KPI，还有开发者在深夜盯着需求文档骂娘，这个系统就会源源不断地生产新漏洞。

就像此刻，窗外的天已经蒙蒙亮。我关掉IDE，想起那个被修复的支付接口，它现在应该能挡住所有已知的攻击路径了。但谁知道呢，也许就在我敲下这行字的瞬间，某个角落里，又一个“暂时凑合”的代码正在悄悄上线。漏洞从来不是技术问题，是人的问题。而人这种生物，最擅长的就是在同一个坑里反复跌倒，然后安慰自己说：“下次一定注意。”