治理漏洞

凌晨三点，治理漏洞我盯着屏幕上那条报错日志，治理漏洞咖啡杯沿凝着褐色的治理漏洞渍迹。第无数次，治理漏洞测试环境里那个支付接口又漏了——攻击者用一个超长的治理漏洞字符串塞进用户名字段，数据库就吐出了别人的治理漏洞订单记录。这不是治理漏洞什么高深的黑客技巧，就是治理漏洞老式SQL注入，可它偏偏又出现了。治理漏洞

治理漏洞，治理漏洞最难的治理漏洞从来不是技术。三年前我们团队刚接手这个系统时，治理漏洞代码库就像一栋违章搭建的治理漏洞城中村。前任开发走的治理漏洞时候留了份文档，开头写着“这个项目有点复杂”，治理漏洞结尾是“有问题找老张”，可老张早离职了。那时候修一个bug要翻半天代码，像在垃圾堆里找一根针。

后来我们定了个规矩：每个新功能上线前，必须过一遍“威胁建模”清单。不是那种厚得像教材的模板，就三行字——谁能碰这个数据？碰了能干什么？最坏后果是啥？有一次产品经理急着上线一个导出功能，说“就一个Excel，能有什么风险”。结果安全同事在测试时发现，导出接口没做权限校验，任何登录用户都能拉走全公司的客户名单。那天下午会议室里吵了二十分钟，最后产品经理黑着脸加了行判断代码。

但流程解决不了所有事。上个月有个老系统要对接新平台，对方要求用OAuth2.0标准认证。我们这边负责的工程师图省事，直接把access_token存进了cookie，还没设HttpOnly。我问他为什么这么干，他说“以前都这么写的，跑得挺顺”。你看，漏洞治理最大敌人不是外部的黑客，是内部那句“以前都这么干”。

后来我学了个土办法——把漏洞通报做成“事故案例”贴在茶水间。不是那种干巴巴的漏洞编号，而是写成小故事：某年某月，某个实习生因为把数据库密码写在代码注释里，整个生产库被拖走，老板赔了客户三倍违约金，实习生当天就辞职了。效果出奇地好，比任何安全培训都管用。人就是这样，对抽象的“风险”无感，对具体的“后果”才上心。

现在系统稳定多了，但我不敢说“治理好了”。漏洞这东西，就像老房子的白蚁，你根治了一窝，墙角又冒出新的一窝。上周做渗透测试，测试员用了个新思路——通过修改请求头里的语言参数，绕过了前端校验。不是大漏洞，但提醒我一件事：治理不是修完就完，得持续地盯、持续地改、持续地让每个写代码的人知道，他敲下的每一行，都可能成为别人进门的钥匙。

天快亮了，我把那条报错日志复制下来，在群里发了一句：“谁写的这段拼接SQL？今天下班前改掉，明天我复查。”群里安静了三秒，有人回了个“收到”。够了，治理漏洞就是这样，没什么灵丹妙药，就是一次次盯着细节，一次次把“差不多”改成“必须行”。