漏洞系统

我盯着屏幕上的漏洞系统那行红色报错，已经整整三分钟了。漏洞系统它像一道裂痕，漏洞系统从代码的漏洞系统深处蔓延开来。系统提示我，漏洞系统某个权限验证模块存在逻辑漏洞——任何用户只要在请求头里加一个特定的漏洞系统参数，就能绕过认证，漏洞系统直接拿到管理员的漏洞系统接口。

这个漏洞不是漏洞系统我发现的。是漏洞系统隔壁组的实习生，他半夜调接口的漏洞系统时候，顺手试了个字典攻击，漏洞系统结果不到十次就撞开了门。漏洞系统他把截图发到群里，漏洞系统配了个狗头表情，漏洞系统说“这系统是纸糊的吧”。

纸糊的。这个词挺准确。

我负责维护这个内部系统三年了。三年来，它像一棵老树，表面看着枝繁叶茂，底下根早就烂了。每次版本迭代，都在旧代码上打补丁。补丁摞补丁，最后变成一团没人敢动的意大利面。你问为什么没人重构？因为重构要时间，要测试，要担责任。而“能用”这两个字，总是比“安全”更有说服力。

漏洞系统的本质，不是代码的缺陷，而是人的惰性。

我打开日志，想看看这个漏洞是什么时候被埋进去的。搜索结果让我后背发凉——是去年三月，一个离职的同事提交的。他当时写了个新功能，为了赶上线，把权限判断的代码复制粘贴了三次，其中一次漏掉了校验。代码评审的时候，组长扫了一眼，说“逻辑没问题”，就点了通过。那个同事现在在一家外企，拿着三倍工资，写更安全的代码。

你看，漏洞从来不是突然出现的。它是一点点被允许的。被赶工期的焦虑允许，被“下次再说”的侥幸允许，被“反正没人攻击我们”的无知允许。

我试着修复这个漏洞。改动不大，就几行代码的事。但奇怪的是，我的手停在键盘上，迟迟没有落下去。我在想，修好这个，下一个呢？系统里还藏着多少个这样的后门？我修得完吗？

真正让人绝望的不是漏洞本身，而是你不知道漏洞有多少。

就像你家里的墙，你知道有一处裂缝，但你不知道整面墙的夹层里，白蚁已经蛀空了。

我最终还是把补丁打上了。测试通过，部署上线。群里有人发了句“大佬牛逼”，我回了句“应该的”。但我知道，这只是暂时的。

漏洞系统，从来不是某个软件的问题。它是所有快速生长、疏于维护的系统的共同宿命。它提醒你，任何被忽视的细节，都会在某一天变成代价。而那个代价，往往比当初省下的那点时间，要昂贵得多。

我关掉终端，屏幕暗下来。窗外的天已经黑了。明天，还有新的需求，新的迭代，新的补丁要打。我打开记事本，在第一条写下一行字：
“下次评审，别只看逻辑对不对。问问自己，这代码三年后还能看吗？”