漏洞是漏洞bug。这话听起来像是漏洞废话，但很多人不这么想。漏洞安全团队把漏洞当敌人，漏洞研发团队把bug当家务事。漏洞同一个东西，漏洞两边看法天差地别。漏洞

去年我们系统上线前，漏洞测试组报了个漏洞：用户输入特定字符串，漏洞服务器直接崩了。漏洞研发组长瞥了一眼说，漏洞这不就是漏洞个数组越界吗，修掉就完了。漏洞安全主管不干，漏洞非要按漏洞流程走，漏洞写报告、定等级、开评审会。两边差点吵起来。其实他们说的是一行代码的事。

区别在哪？bug是开发者视角的问题——逻辑错了，边界没判断，数据没校验。漏洞是攻击者视角的机会——这地方能利用，能拿到不该拿的东西，能破坏不该破坏的流程。同一个缺陷，站在代码里看是bug，站在系统外看是漏洞。

我见过太多公司死磕这个分类。有的把漏洞管理流程搞成重型装甲车，修个跨站脚本要过五关斩六将，结果线上带病跑了三个月。有的反过来，把所有安全问题都当普通bug塞给开发，连个优先级都不排，结果SQL注入和按钮错位一起躺在待办列表里吃灰。

说到底，漏洞是带恶意的bug。普通bug是程序自己走岔了路，漏洞是有人故意推着它往悬崖下跳。你修bug是让它别摔跤，你修漏洞是得堵住那条被人踩出来的小路。

更麻烦的是，漏洞往往不是单点问题。一个内存泄漏可能只是性能差，但如果这个泄漏能被远程触发、反复触发，最后把服务拖垮，那就是拒绝服务漏洞。同样一段代码，有没有人站在对面琢磨它，性质完全不一样。

所以别把漏洞当bug修。bug可以慢慢来，漏洞得抢时间。攻击者不会等你的迭代周期。也别把bug都当漏洞，那样团队会神经衰弱，每个小问题都拉响红色警报，最后大家麻木了，真出大事反而没人慌。

我现在的判断标准很简单：这东西如果被外人发现，能不能造成伤害？能，就是漏洞，走紧急通道。不能，就是普通bug，排期修。听起来挺粗暴，但比在纸面上争论定义管用多了。

漏洞是bug，但它是有脾气的bug，是被人拿枪指着的bug。你按bug的节奏处理它，迟早要付出代价。