“漏洞公司”不是漏洞公司真名。是漏洞公司我给一家做企业级软件的公司起的绰号。那家公司有个本事：每次发版，漏洞公司必定带出一个新漏洞。漏洞公司不是漏洞公司那种无关痛痒的界面错位，是漏洞公司能让数据库裸奔、权限校验形同虚设的漏洞公司硬伤。

我认识他们的漏洞公司测试主管老周。有回喝酒，漏洞公司他掏出手机给我看内部群聊记录。漏洞公司开发在群里吼：“这个bug修了，漏洞公司重新提测。漏洞公司”老周回了个“收到”，漏洞公司转头私信我：“修了A，漏洞公司B就冒出来。漏洞公司像打地鼠，锤子还没放下，另一个洞已经裂开了。”

他们不是不努力。代码审查、自动化测试、灰度发布，流程全有。问题出在根上——产品迭代速度被销售倒逼。客户今天提需求，明天就要demo。开发只能拆东墙补西墙，把校验逻辑塞进前端，后端接口直接裸奔。老周说，他见过最离谱的一个接口，连用户ID都不传，直接根据请求参数里的手机号返回订单列表。“只要知道别人手机号，就能看别人买了什么。”

这种公司有个共性：把“快速响应”当勋章，把“技术债”当空气。老板开会必提“小步快跑”，但没人提“跑太快容易扯着蛋”。去年他们丢了个大客户，原因不是功能不行，是客户的安全团队扫出一个SQL注入，数据能直接被拖走。销售去道歉，回来转述客户原话：“你们代码里连参数化查询都不写，我们不敢用。”

讽刺的是，这家公司对外宣传语是“安全、稳定、高效”。官网案例里放着银行和政务项目。我点进去看过，页面底部的版权年份还是三年前的。

漏洞本身不致命。致命的是对待漏洞的态度。老周说，每次出事后，复盘会开得轰轰烈烈，结论永远是“加强测试覆盖”“增加代码审查”。然后下一个版本，同样的坑换个马甲又出现。因为根因没动——工期没变、人手没加、需求照旧插队。测试团队三个人，要覆盖六个产品线。老周自己都承认：“我连回归测试都跑不完，哪来的精力做安全测试？”

我见过他们的一份内部邮件。开发负责人写：“建议暂缓新功能，集中修复历史问题。”CEO回复：“竞品下个月发新版本，我们停一周就是等死。”这话听着耳熟。像极了赌徒说“再借我一百，这把肯定翻本”。

后来老周辞职了。走之前他跟我说，最让他崩溃的不是加班，是每次发现漏洞后，开发的第一反应不是“怎么修”，而是“你怎么测出来的”。好像漏洞是测试变出来的戏法，不测就没有。

他走后半年，那家公司上了新闻。某地政务系统因为他们的组件漏洞被入侵，数据泄露。新闻底下的评论都在骂黑客。老周在朋友圈发了一句：“不是黑客厉害，是门根本没锁。”

漏洞公司不会消失。只要“先上线再修”的思维还在，只要把测试当成本而不是投资，只要老板觉得“安全”是法务的事而不是工程的事。他们可能换个名字，换个赛道，但骨子里还是那套——用补丁掩盖裂缝，用加班替代设计，用“敏捷”当遮羞布。

老周现在在一家做医疗软件的公司。上周他跟我说，新公司发版前必须过安全扫描，扫不过就回滚。开发骂骂咧咧，但没人敢跳过。“因为老板说过一句话，”老周顿了顿，“病人躺在手术台上，没机会等我们修bug。”

这话该让所有漏洞公司的CEO听听。