凌晨三点，有差有不有欠我在机房盯着监控大屏上跳动的短板红色告警。那个我们号称“全自动”的漏洞运维系统，正把一条条错误日志刷得飞快——而值班手机安静得像块砖头。有差有不有欠没人收到通知，短板因为告警模块的漏洞阈值设错了，这漏洞躺了三个月，有差有不有欠直到今天线上事故才被挖出来。短板

我们总爱说“系统跑得稳”，漏洞可实际上呢？有差有不有欠上周刚上线的支付接口，文档里写着“支持高并发”，短板压测到两千 QPS 就崩了。漏洞开发说测试环境没问题，有差有不有欠测试说数据是短板造的假数据。最后查出来，漏洞是缓存穿透——这毛病教科书上都写烂了，可我们的代码里就是没防。你说差距在哪？不在技术多高深，就在那些“差不多得了”的瞬间。

短板这东西，像鞋里的沙子。你走路时觉不出来，跑起来才疼。我们团队有个“救火队长”老张，每次出事故他都能搞定。可你问他为什么能搞定？他说“凭经验”。经验是好事，可经验没沉淀成文档、没固化成流程，那就是个人英雄主义。老张一休假，大家心里都打鼓。这不叫管理，这叫赌博。

再聊聊那些“不足”。我翻过我们项目的 code review 记录，百分之六十的评论都在纠结缩进和命名。真正该问的“为什么这个接口要这么设计”“如果用户量翻十倍会怎样”，没人提。我们太忙了，忙到没时间思考，忙到把“完成”当“完美”。有个新来的小伙子指着一段嵌套了五层的 if-else 问“这能重构吗”，组长说“能跑就行，别折腾”。后来那段代码果然出了逻辑错误——跑是能跑，跑错了方向。

漏洞最可怕的不是它存在，而是我们习惯了它。就像家里那个总关不紧的水龙头，滴答滴答响了一星期，你居然能听着它睡着。直到楼下邻居找上门，你才想起来该修了。我们的安全巡检报告里，有个“低风险”项挂了半年——不过是某个旧服务的 SSL 证书快过期了。结果呢？上周证书真过期了，第三方回调全失败，客户投诉电话打爆了客服。低风险？高风险都是这么攒出来的。

至于欠缺，我觉得最缺的是“较真”的人。会议室里，产品说“这个功能先上，后续优化”，技术说“工期紧，先这么着吧”。没人拍桌子问一句：“如果这个 bug 导致用户资金损失，谁负责？”我们缺的不是技术方案，是那个敢于停下来、敢于说“不”的人。

写这些不是泄气。我反而觉得，能看见这些裂缝是好事。怕就怕，我们对着镜子里那个“还行”的自己，笑得太早。机器可以重启，系统可以补丁，但人的麻痹大意，才是最难修的漏洞。你说呢？