发现漏洞及时

凌晨三点十七分，发现我盯着屏幕上那行报错代码，漏洞后背发凉。发现不是漏洞程序崩了——恰恰相反，它运行得异常流畅。发现流畅到让我意识到，漏洞某个本该拦住非法请求的发现校验逻辑，像一扇虚掩的漏洞门，风一吹就开了。发现

这个漏洞藏在用户权限验证的漏洞第三层分支里。写代码的发现人用了“或”运算，把两个本应“且”关系成立的漏洞条件并列了。单看每一行都没问题，发现测试数据也全绿。漏洞可当某个特定角色的发现用户，恰好同时满足其中一个条件时，系统就默认他拥有了全部权限。我花了四十分钟才复现这个场景——用了一个几乎没人会用的旧版API接口，加一串特殊字符拼成的ID。

发现漏洞的瞬间，我心跳快了两拍。第一反应是赶紧打补丁，手都放到键盘上了，又缩回来。不行，得先记录复现路径，截图，存日志。这个习惯救过我一次。去年有回在电商系统里发现个优惠券叠加漏洞，我急着修，结果修完才发现自己没留存证据，后面对接漏洞报告时，光解释“怎么发现的”就花了两天。

补丁写得很顺利，三行代码的事。但真正麻烦的是后面——得通知所有可能受影响的服务方，不能只发个公告了事。我挨个给相关团队发了私信，附上复现步骤和修复建议。有个同事回我：“这漏洞存在三个月了，怎么现在才发现？”我没法回答。三个月前我还在处理另一套系统的数据迁移，根本没人告诉我这个模块改过权限逻辑。

漏洞这东西，就像墙角的霉斑。你看见它的时候，往往已经渗进墙里了。但发现得早，铲掉表层，重新粉刷，损失只限于那一小块。要是放任不管，等它蔓延到承重墙，那就不是刷墙能解决的事了。我见过最惨的案例，是某家初创公司把支付接口的密钥硬编码在前端代码里，被爬虫扫出来，一夜之间被刷了八十多万。不是没人提醒过他们，只是当时都觉得“先上线再说，漏洞后面补”。

现在每次提交代码前，我都会故意用一些刁钻的角度去试自己的逻辑。模拟用户点击，模拟参数篡改，模拟并发请求。有时候试不出来，反而更慌——因为我知道，总有我想不到的路径。真正的安全感不是来自“没发现漏洞”，而是来自“发现得够快，修得够及时”。就像家里装烟雾报警器，不是为了不冒烟，是为了冒烟时能第一时间知道。

那个凌晨的补丁上线后，我在修复记录里补了段备注：原逻辑存在条件竞争风险，已改为嵌套判断并增加日志追踪。三天后，监控系统果然捕捉到一次尝试利用旧逻辑的请求，被新校验拦住了。看着拦截日志里那串熟悉的字符，我有点后怕，也有点庆幸。后怕是差一点就出事，庆幸是——我赶在出事之前，看见了那扇虚掩的门。