系统漏洞修复不了怎么办

去年冬天，系统修复我帮一个做电商的漏洞朋友处理他公司后台的异常登录问题。那套系统是不办外包团队三年前写的，原班人马早散了。系统修复日志里明明白白记录着每天凌晨三点有境外IP尝试撞库，漏洞可翻遍代码也找不到鉴权模块的不办入口——它被硬编码在一个已经离职员工写的加密工具类里，密钥随他的系统修复工牌一起消失了。朋友问：“这漏洞修不了怎么办？漏洞”我说，那就别修了。不办

这不是系统修复气话。有些漏洞从诞生那天起就注定修不好，漏洞不是不办因为技术不够，而是系统修复因为系统的“历史包袱”比漏洞本身更重。你面对的漏洞不是一行错误代码，是不办一整套决策链的化石层：当年为了赶上线砍掉的校验、为了兼容旧接口保留的万能密码、为了省服务器成本关掉的日志审计。每一层都有人签过字，每一层都动不得。强行修复等于把地基抽了重建，业务先崩给你看。

我见过最离谱的例子是一个地方医院的挂号系统。SQL注入点明晃晃挂在查询参数里，但开发方不敢动——因为那个参数同时被三个科室的旧版客户端依赖，改掉之后挂号窗口的打印机就出不了票。院长拍板：先保证能挂号，安全的事以后再说。这个“以后”拖了四年。漏洞还在，但医院每天照常运转。你说它危险吗？危险。可修复它的成本是停诊三天，这个代价没人敢付。

所以遇到修不了的漏洞，第一件事是重新定义“修”。不是所有问题都需要根治，有些只需要隔离。把带漏洞的服务从公网摘下来，加一层反向代理做白名单，或者干脆用防火墙规则把异常流量掐掉。这就像老房子承重墙裂了，你没法换墙，但可以在外面加钢架撑着。难看，但管用。

第二件事是承认技术债的利息。那个电商系统后来怎么处理的？我们没动老代码，而是在前面加了一个WAF，把撞库特征明显的请求直接拦掉。同时写了个脚本每天凌晨两点半自动重启一次鉴权服务——因为攻击者总在三点来。听起来很蠢对吧？但三个月后攻击者放弃了，转向了另一个更好啃的目标。安全有时候拼的不是谁更坚固，是谁更麻烦。

当然，有些漏洞确实拖不得。比如能直接拿到数据库权限的，或者能绕过支付逻辑的。这种时候别想着优雅修复，直接上补丁，哪怕把功能砍掉一半。我见过一个团队为了堵一个反序列化漏洞，把整个文件上传功能关了两个月，用户骂声一片，但数据没丢。两害相权取其轻，这个判断必须有人做。

最怕的是那种“假装修好了”的状态。改个变量名、加个注释、把漏洞入口藏深一点，然后告诉老板“已修复”。这比不修更危险，因为它让所有人放松了警惕。漏洞还在那里，只是你暂时看不见了。

说到底，修不了的系统漏洞，本质上是组织问题的技术投影。代码是人写的，决策是人做的，预算是人批的。当你说“修不了”的时候，真正想说的是“在这个约束条件下，我找不到既安全又不影响业务的解法”。那就把约束条件摆到桌面上：要么接受风险，要么接受业务中断，要么接受重构成本。没有第四条路。

那个电商朋友最后选了接受风险，但加了三层监控。他说：“我知道它迟早会出事，但我至少能第一时间知道。”这大概就是成年人的处理方式——不追求完美，只追求可控。