凌晨三点，美杜微信群里有人甩出一张截图——灵符背包里凭空多出99999个。莎传发图的奇微人只留下一句“懂的都懂”，然后头像灰了。程序这是灵符漏洞《美杜莎传奇》微信小程序灵符漏洞被捅破的第一个夜晚。

所谓灵符，美杜是莎传这游戏里最硬的通货。升级要它，奇微抽卡要它，程序连野外打架复活都要它。灵符漏洞官方卖得死贵，美杜一块钱十张，莎传玩家在聊天频道里骂了三个月黑心策划。奇微结果一个充值接口的程序校验漏洞，让这一切变成了笑话——有人抓包发现，灵符漏洞修改请求体里的商品数量字段，后端不做二次验证。发一个0.01元的支付请求，服务器直接回包：到账99999灵符。

消息在贴吧和QQ群之间滚雪球。第二天中午，游戏内排行榜已经疯了。一个叫“白嫖之王”的账号，战力从两万飙到三百万，装备栏里全是金色传说。更狠的是，有人把漏洞做成自动脚本，挂机刷灵符，一小时能刷出相当于人民币五万块的量。官方客服通道里全是举报截图，但处理速度明显跟不上——毕竟封号要人工审核，刷子们早就用小号把漏洞玩出了花。

我亲眼见过一个哥们儿，在游戏公屏上直播刷漏洞。他一边操作一边打字：“兄弟们看好了，就这个充值页面，断网重连，抓包改字段，服务器根本不管。”结果三分钟后，他的账号被强制踢下线，再登录时提示“数据异常”。但没卵用，他转头注册新号，十分钟后又开始刷。这种猫鼠游戏持续了整整两天，官方才紧急停服维护，把充值接口整个重写了一遍。

这事最讽刺的地方在于，漏洞修复后，官方发了个补偿公告——每人发200灵符。玩家们乐了，说这是“打发叫花子”，但更让人无语的是，那些靠漏洞刷到顶级装备的账号，大部分没被回档。官方只封了那些刷得最离谱、还在公屏上炫耀的号，剩下那些“低调”的，装备和灵符都保住了。一个玩家在论坛里阴阳怪气：“感谢官方让我体验了一把人民币玩家的快乐，虽然只持续了三天。”

说到底，这种漏洞暴露了小程序游戏的通病——为了快速上线，后端校验做得稀烂。支付回调不验签，商品数量不查库，全凭前端传参。但凡有个稍微靠谱的测试，这种低级错误都过不了关。可现实是，游戏厂商急着割韭菜，把安全测试省了，结果被一群羊毛党反手割了肉。现在官方倒是学乖了，每次充值都要弹人脸识别，但玩家心里都清楚——漏洞总会有下一个，只是时间问题。