2023年秋天，漏洞说明某家做跨境电商的漏洞说明小公司差点被一个登录漏洞搞垮。攻击者没用什么高级手段，漏洞说明只是漏洞说明发现他们重置密码的接口在验证短信验证码时，把“验证成功”的漏洞说明状态直接返回给了前端，而前端又把这个状态当作最终凭据去调用修改密码的漏洞说明接口。结果就是漏洞说明，任何人只要抓包，漏洞说明把返回的漏洞说明false改成true，就能改掉任意账号的漏洞说明密码。这个漏洞在代码里只占三行，漏洞说明但差点让公司赔掉全年利润。漏洞说明

漏洞这东西，漏洞说明很多时候不是漏洞说明技术多深奥，而是漏洞说明逻辑上少想了一步。你写代码的时候默认用户会按你设计的流程走，但攻击者从来不按套路出牌。他们盯着的是“如果这里不按预期输入，会发生什么”。上面那个案例，开发者默认前端会老老实实等后端返回，但攻击者直接跳过前端，自己伪造返回。这就是典型的“信任边界”没划清——后端信任了前端传来的状态，前端又信任了用户的操作。

我见过不少类似的坑。有个做在线教育的朋友，他们的视频播放接口用了一个自增的数字ID。本来没什么，但接口没有校验当前登录用户是否购买了那门课。结果任何人把ID从100改成101，就能白嫖下一节课。更离谱的是，他们连课程价格都放在前端计算，用户把总价从299改成0.99，后端居然照单全收。这种漏洞不需要什么黑客工具，浏览器F12改个数字就行。说白了，就是把该在后端做的校验，全推给了前端。

还有一种漏洞更隐蔽，叫“条件竞争”。比如一个优惠券系统，用户点“领取”的时候，后端先查库存，有库存就发券，然后减库存。看起来没问题。但如果用户同时发100个请求呢？每个请求都查到“有库存”，然后都发券，最后库存变成负数。修复方法也简单，把“查”和“减”合并成一个原子操作，或者加锁。但很多开发者写代码时是线性思维，想不到并发场景。这种漏洞在秒杀、抢购、积分兑换里特别常见。

权限漏洞也值得单独拎出来说。有些系统把“是否管理员”写在了前端的一个变量里，比如isAdmin = false。攻击者改成true，页面就多出管理按钮。但真正的问题在于，后端接口没有再次校验这个用户是不是管理员。你前端藏得再好，接口一调就露馅。正确的做法是每个敏感接口都独立鉴权，不依赖前端传来的任何角色标识。我见过一个后台系统，普通用户能直接调用删除用户的接口，只因为那个接口的URL里带了个“admin”路径，开发者以为路径里有admin就安全了。这跟把钥匙藏在门垫下面没区别。

写代码的时候，我习惯问自己三个问题：这个参数如果被改成别的值会怎样？这个接口如果被重复调用会怎样？这个操作如果跳过前面的步骤直接执行会怎样？大部分漏洞的答案就藏在这三个问题里。比如参数改成负数、改成超大数、改成其他用户的ID；接口重复调用导致资源耗尽或状态错乱；跳过支付直接调发货接口。这些都不是什么高深技术，就是多想一步。

最后说个真实观察。很多漏洞修复起来并不难，难的是意识到它存在。开发者往往沉浸在自己的业务逻辑里，觉得“用户不会这么干”。但攻击者恰恰就干这个。所以别把安全当成一个阶段性的任务，它应该像写注释一样，融进每次提交代码的习惯里。哪怕只是加一行if (userId != session.userId) return 403;，也能挡住一大批低级攻击。漏洞不会消失，但你可以让它变得没那么容易利用。