凌晨两点十七分，漏洞修改我盯着屏幕上那行红色的漏洞修改报错日志，咖啡杯沿沾着干涸的漏洞修改奶渍。生产环境的漏洞修改用户注册接口又挂了，监控群里炸了锅，漏洞修改运维小哥连着发了十几个感叹号。漏洞修改

问题出在一个看似不起眼的漏洞修改参数校验上。开发同事写了个正则表达式，漏洞修改想过滤掉用户名里的漏洞修改特殊字符，结果漏掉了Unicode的漏洞修改零宽空格。攻击者只要在用户名里塞一个肉眼不可见的漏洞修改字符，就能绕过校验，漏洞修改把恶意脚本存进数据库。漏洞修改等管理员后台一打开，漏洞修改脚本就在浏览器里悄悄执行——典型的漏洞修改存储型XSS。

修这个漏洞其实不难，加上`\u200B-\u200D`的范围排除就行。真正难的是找到它。那个正则写了三行，嵌套了两层非捕获组，一眼扫过去根本看不出毛病。我是用fuzz工具随机生成了几万组畸形字符串，跑了整整一个下午，才在输出日志里发现了一条异常的回显。

漏洞修复的过程，像在拆一颗定时炸弹。你永远不知道引线连着哪根雷管。有时候你堵住了SQL注入的口子，结果发现参数化查询没覆盖到ORDER BY子句；有时候你给文件上传加了白名单，却忘了检查图片文件的EXIF头里藏的PHP代码。

上个月处理过更邪门的一个洞。某个老系统的登录接口，用的是AES加密传输密码，密钥硬编码在JS文件里。前端工程师图省事，把解密逻辑也写在了页面上。我爬了半小时源码，直接在浏览器控制台里调用了那个解密函数，明文密码哗啦啦全出来了。修这个漏洞得改整个认证流程，前后端联调了两周，上线当晚又出了新问题——加密后的密文长度变了，数据库字段存不下。

多数人以为修漏洞是技术活，其实更多时候是体力活。你得翻历史提交记录，看这段代码是谁在什么需求下写的；你得查线上日志，确认有没有人已经利用了这个洞；你得跟产品经理解释为什么这个"小优化"要推迟三个版本。最烦的是那种遗留代码，写的人早离职了，注释就一行"// TODO: fix me"，你只能对着编译器的报错信息猜他当时的思路。

说回那个XSS漏洞。我改完正则，跑完回归测试，正准备提交代码，突然想起还有个地方没查——用户头像上传接口。那个接口会把文件名直接拼进HTML的img标签里。我赶紧试了试，果然，文件名里加个`">