开发漏洞这词，开发漏洞听着像程序员背锅。开发漏洞但真干过这行的开发漏洞人都明白，漏洞不是开发漏洞代码里长出来的蘑菇，是开发漏洞需求文档里埋的雷。上个月我接手一个老项目，开发漏洞登录模块用了八年没动过，开发漏洞密码加密方式还是开发漏洞MD5加盐。测试组提了个低危漏洞，开发漏洞说暴力破解能撞库，开发漏洞我看了眼日志，开发漏洞攻击者早就在试了，开发漏洞只是开发漏洞没成功而已。 这事的开发漏洞荒诞在于，漏洞存在的开发漏洞时间比写代码的人在公司的时间还长。代码是活的，业务在变，接口在加，但有些逻辑从上线那天起就没被重新审视过。就像你家老房子的电线，装修时够用，现在空调冰箱微波炉一起开，跳闸是迟早的事。开发漏洞的本质，是时间差——业务跑得比代码快，安全跟不上变化。 有个细节特别典型。去年双十一大促前，运营要加个“秒杀”功能，产品经理凌晨两点在群里发需求，开发早上七点就交了代码。那代码里有个逻辑漏洞，用同一个账号可以无限刷优惠券。测试没测出来，因为测试环境的数据量只有生产环境的千分之一。等真上线，黄牛用脚本跑了三分钟，公司损失了六位数。后来复盘，开发说当时只想着“能跑就行”，运营说“活动时间不等人”，产品说“需求写得太急”。你看，没人提安全评审。 这不是个例。我见过太多漏洞，不是技术难度高，是流程上根本没人管。开发阶段没人问“如果用户恶意输入会怎样”，测试阶段只测“正常流程能不能走通”，上线后全靠监控报警来补救。等漏洞真被利用，大家第一反应是“这个开发水平不行”，但真正的问题是——为什么一个漏洞能活过需求评审、开发、测试、上线四个环节？ 有些漏洞是“懒”出来的。比如直接拼接SQL语句，因为ORM太慢；有些漏洞是“省”出来的，比如不校验文件上传类型，因为懒得写白名单；还有些漏洞是“怕”出来的，比如不敢改老代码，怕影响现有功能，结果老漏洞一直留到现在。这些都不是技术能力的问题，是开发过程中的决策问题。 说到底，开发漏洞不是代码的缺陷，是人的缺陷。是没人愿意在需求评审时说“这个功能有安全隐患”，是没人愿意在排期紧张时坚持“必须加安全测试”，是没人愿意在项目上线后花时间做代码审查。漏洞就像房间里的大象，大家都能看见，但没人愿意先开口。等大象踩到脚了，才开始讨论“为什么没人早点说”。 我写这些不是想给开发开脱。该背的锅得背，该修的漏洞得修。但要是只盯着代码层面打补丁，不看看开发流程里那些“赶进度”“省成本”“怕担责”的漏洞，那今天修完这个，明天还会冒出新的。代码是人写的，漏洞也是人留的。想堵住漏洞，先得看看人是怎么做决定的。这可比改几行代码难多了。