我见过最荒唐的网页漏洞漏洞，不是网页漏洞攻破银行系统的那个，而是网页漏洞某政府网站后台密码是“123456”。管理员大概觉得没人会闲到去试这个——结果真有个中学生试了，网页漏洞他本来只是网页漏洞想看看能不能把自己名字写进优秀学生名单里。

网页漏洞就是网页漏洞这么回事。它不像电影里演的网页漏洞那样，黑客敲几下键盘屏幕就变雪花。网页漏洞现实中的网页漏洞漏洞往往藏在最不起眼的地方。比如一个搜索框，网页漏洞你输入“鱼香肉丝”，网页漏洞它返回菜品价格。网页漏洞但如果你输入一段特殊的网页漏洞字符，它可能就把整本菜单数据库都吐出来——这就是网页漏洞SQL注入，像用万能钥匙捅开了后厨的网页漏洞门。

还有个更蠢的。某电商网站搞促销活动，程序员把优惠券的领取接口写得太“诚实”了。它只检查你有没有登录，不检查你领过没有。于是有人写了个脚本，一晚上领了八千张满减券。第二天活动被迫下线，程序员加班改代码的时候，大概连杀人的心都有。

这些漏洞的共同点是什么？不是技术多高深，而是开发者默认“没人会这么干”。默认用户会规规矩矩地输入手机号，默认用户不会去改网址里的参数，默认用户不会翻看网页源代码。可互联网上什么人都有，闲人、怪人、较真的人，还有专门靠找漏洞赚钱的人。

有个朋友跟我讲过他的经历。他给一家小公司做安全测试，发现他们的登录页面有个逻辑漏洞——验证码校验完可以绕过，直接跳到登录成功页面。他报告给负责人，对方第一反应是：“不可能吧，我们这系统是花三万块找外包做的。”朋友没说话，当场演示了一遍。对方愣了几秒，说了句“我去”，然后开始打电话骂人。

网页漏洞的本质，其实是信任与不信任的博弈。你信任用户输入的都是正常内容，漏洞就偏要给你塞点不正常的东西。你信任接口调用都按流程走，漏洞就偏要跳过流程直接拿结果。安全圈有句老话：所有的输入都是有害的，直到证明无辜。

但话说回来，漏洞也不是洪水猛兽。每个漏洞被发现、被修复，网页就结实一点。就像人得感冒会产生抗体，网站被攻击几次，反而没那么容易病倒。真正可怕的是那种没人管的网站，上线五年没更新过，像一栋没装门锁的老房子，谁路过都能进去坐坐。

我最后想说的是，别小看那些看起来笨拙的漏洞。它们提醒我们，技术再复杂，背后还是人写的那几行代码。是人就会偷懒，会侥幸，会想着“先上线再说”。而漏洞，就是这些念头留下的脚印。