凌晨两点十七分，网警网站我的通知手机屏幕突然亮起来。不是漏洞闹钟，是网警网站网警平台的推送——一条漏洞通报。我眯着眼点开，通知标题写着《某政务网站存在SQL注入漏洞》，漏洞下附三行技术细节。网警网站那一刻我睡意全无，通知不是漏洞因为被通报的是我负责的系统，而是网警网站这条推送的措辞变了。

以前收到的通知漏洞通知，总是漏洞干巴巴的几行字：“发现漏洞，请于X日内修复。网警网站”像法院传票，通知冷冰冰的漏洞。但这次不一样，开头直接写了攻击路径——对方用了一个很老的union select注入手法，居然就穿透了参数过滤。我登录后台一查，那个接口是三年前外包开发的，早没人维护了。代码里连预处理语句都没用，字符串拼接得明目张胆。

网警这次没走流程。他们直接给了一套复现步骤，还附了攻击日志的截图。日志显示，有境外IP在凌晨四点尝试了七次，每次payload都略有变化，像是在试探WAF的规则。第七次成功了，但没拖库，只读取了数据库版本号就撤了。这反而更让人后背发凉——对方在踩点，不是来偷数据的。

我打电话给值班同事，他睡意朦胧地嘟囔：“这种漏洞不是年年都有吗，改改参数不就完了。”我打断他：“你自己看通知的结尾。”通知最后加了一段话，没有套话，只有一句：“本次漏洞已同步至公安部情报平台，建议贵单位排查同类型历史项目。”这句话的分量，干这行的人都懂——系统已经进名单了。

修复过程其实不难，难的是说服领导重视。我拿着通知去找技术总监，他扫了一眼说：“网警通知而已，又不是处罚，按流程走就行。”我把手机递过去，让他看通知里附带的一个数据包。那个数据包里除了SQL注入的尝试，还有一段加密流量，解出来是“test123”的哈希值。这显然是攻击者留下的标记，意思是“我能进来，但我先不搞破坏”。

总监沉默了几秒，问：“这通知是谁写的？”我说：“署名是网警支队，但行文风格不像。”他点点头：“确实，以前通知都是模板，这次像是懂技术的人亲手写的。”我们花了三天把所有老接口翻了一遍，找出六个类似问题。修复完回传报告时，我在邮件里加了一句：“已排查全部历史项目，发现同类问题X处，均已修复。”

第二天收到回复，只有两个字：“收到。”没有表扬，没有后续要求。但我知道，这件事没完——网警那边肯定在盯着。果不其然，两周后的一次安全会议上，有人提了一句：“最近漏洞通报改版了，修复质量明显提升。”我没说话，但心里清楚，那种冷冰冰的通知，反而让人不当回事。现在这种带细节、带日志、带攻击者意图分析的通知，才真正让人睡不着觉。

漏洞从来不新鲜，新鲜的是有人愿意把漏洞背后的故事讲给你听。网警这次没当传声筒，他们当了技术顾问。这比任何处罚都管用。