查漏洞 补短板

凌晨三点，查漏我盯着屏幕上那行报错代码，洞补短板咖啡杯沿凝着一圈褐色渍迹。查漏这已经是洞补短板本周第三次因为同一个逻辑漏洞导致数据回滚了。技术群里没人说话，查漏只有运维老张默默发了个截图——线上环境的洞补短板内存泄漏曲线，像条垂死的查漏蛇。

补漏洞这件事，洞补短板最怕的查漏就是只补看得见的裂缝。上周五我们刚修完支付接口的洞补短板鉴权问题，结果今天发现黑客早就在日志里留下了后门脚本。查漏他们比我们更清楚系统的洞补短板薄弱点，就像小偷总知道哪扇窗户的查漏锁簧锈得最厉害。

我翻出三个月前的洞补短板上线记录，发现当时为了赶版本，查漏测试用例里漏掉了并发场景。那会儿觉得“先跑起来再说”，结果现在每次大促前都要临时加服务器。你看，当初省下的两小时测试时间，后来用二十倍的时间来还债。

真正让我警觉的是上周的一次演练。安全团队模拟攻击者从内部网络横向移动，居然十分钟就摸到了核心数据库。不是因为他们技术多高超，而是因为我们把大量敏感配置写在了代码仓库里。那个存放密钥的文件，就像把家门钥匙垫在门口脚垫下——防君子不防小人。

后来我们做了个笨办法：每个季度选一个周末，全员关掉自动部署，手动走一遍关键流程。第一次演练时，光是权限申请就卡了四十分钟。有人抱怨这太耽误时间，可当发现三个离职员工的账号还能登录后台时，没人再说话了。

补短板不能光靠技术手段。上个月产品经理拿着用户反馈来找我，说总有人在下单页面卡住。我们排查了半天，发现是某个老接口响应超时，而这个接口的负责人两年前就调走了。代码里的注释写着“此模块暂不维护”，可没人告诉前端团队这个消息。

现在我们的规则变了：任何超过三个月的临时方案，必须转正或者彻底下线。你猜怎么着？清理掉那些“临时”补丁后，系统响应速度反而快了18%。原来那些补丁就像身上的膏药，贴久了皮肤反而透不过气。

昨天巡检时，新来的实习生问我：“为什么要反复检查这些老掉牙的模块？”我指着监控屏上那条平稳的曲线说：“你看到的是今天的平稳，但没看到上个月它是怎么突然断崖式下跌的。系统和人一样，平时的小毛病不治，总会在某个深夜变成急症。”

窗外的天已经蒙蒙亮了，我关掉终端前最后看了眼漏洞清单。还有七个待修复项，但这次我不慌了。因为我们已经把“查漏洞”变成了日常习惯，而不是每次出事后的救火行动。就像老张说的：“漏洞永远补不完，但只要你一直盯着，它就翻不了天。”