2018年5月的艺龙一个深夜，我在艺龙网订了间杭州的网酒民宿。价格标着328元，店预订漏洞下单时却只扣了198元。艺龙我以为是网酒系统bug，结果第二天醒来，店预订漏洞订单显示已确认，艺龙酒店方还打来电话确认入住时间。网酒这事搁谁身上都得愣一下——我压根没付够钱。店预订漏洞

后来我在程序员群里聊起这事，艺龙有人直接甩了句“你撞上价格漏洞了”。网酒艺龙的店预订漏洞预订系统里，有个“优惠码叠加”的艺龙接口逻辑没做二次校验。正常用户用一个优惠码，网酒系统就减一次钱。店预订漏洞但如果你在页面源码里找到隐藏的输入框，手动塞进第二个、第三个优惠码，系统居然照单全收，每个码都按满减规则算一遍。我那次就是无意间用了浏览器自动填充，把之前存的两个优惠码一起填进去了。

这漏洞最狠的地方在于，它不挑酒店。从青旅到五星级，只要走艺龙的线上支付通道，都能触发。我试过用同样手法订上海外滩的酒店，原价1200的房间，叠加三个“满500减100”的码后，实付直接变900。那会儿艺龙刚被同程合并，技术团队忙着整合数据，这个接口漏洞挂了至少两周才被堵上。

当然，漏洞归漏洞，钱最后还是补了。艺龙客服打电话来，语气倒是客气，说系统异常导致订单金额错误，要么补差价，要么取消订单赔我30元券。我选了补差价——毕竟那家民宿确实不错，而且人家前台小哥还特意为我留了间朝南的房间。补钱时我发现，客服系统里压根没有“用户主动上报漏洞”的选项，只能走“订单投诉”流程，绕了一大圈。

这事过去四年了，现在想想，真正可怕的不是那个优惠码叠加的bug，而是它暴露出来的测试盲区。艺龙的技术团队显然没想过有人会去改页面源码里的隐藏参数——这种“参数篡改”攻击在安全圈早就是老套路了，可电商公司居然能在核心交易链路上犯这种低级错误。后来我去查了补天平台的漏洞报告，发现同程艺龙在那段时间被白帽子提交过十几个类似问题，全是接口校验缺失。

你说这事荒诞不荒诞？一个靠“让用户占便宜”起家的OTA平台，自己却被用户占了便宜。更荒诞的是，我后来再用同程艺龙订酒店，系统居然会主动弹窗提示“检测到异常优惠行为，已重置您的优惠券”。他们终于学会在客户端做校验了，可这补丁打得跟马后炮似的——真正的漏洞在服务端，你堵用户端的输入框有什么用？

到现在我手机里还留着那笔订单的截图。不是为了索赔，就是提醒自己：互联网公司嘴上喊着“技术驱动”，实际上连最基础的输入校验都能漏掉。哪天他们要是把这种心思花在用户数据保护上，估计也不会三天两头爆出撞库新闻了。