“有漏洞”英文最常用的有漏说法是 vulnerable，名词形式是洞英 vulnerability。但如果你在技术圈里混，文叫大概率会听到另一个词：bug。有漏这两个词不是洞英一回事，用错了会显得很外行。文叫

先说 vulnerability。有漏它特指系统、洞英软件或网络协议里存在的文叫安全缺陷，能被攻击者利用来干坏事——比如窃取数据、有漏提权、洞英远程执行代码。文叫CVE 数据库里收录的有漏全是 vulnerability，每个都有编号，洞英像 CVE-2021-44228 就是文叫 Log4j 那个臭名昭著的漏洞。你去看安全公司的报告，标题里写 “critical vulnerability” 的，基本就是能让服务器直接沦陷的那种。

那 bug 呢？范围宽多了。程序算错一个数、界面按钮点不动、内存泄漏导致卡顿——都叫 bug。大部分 bug 跟安全无关，顶多让用户骂两句。但有些 bug 恰好能被用来攻击，这时候它才升级成 vulnerability。我见过不少开发把 “有个 bug” 说成 “有个漏洞”，结果安全团队一查，发现只是显示错位，白紧张一场。反过来，把 “vulnerability” 轻描淡写成 “bug” 更危险，可能让管理层觉得“不就是个小问题嘛”，然后拖着不修。

还有个词叫 exploit，那是利用漏洞的攻击代码或手法。比如 “这个漏洞有公开的 exploit”，意思是网上已经有人写出了利用工具，谁都能下载来打你。漏洞本身是 vulnerability，exploit 是那把捅进去的刀。

日常口语里，老外也会说 “hole” 或 “security hole”。比如 “There’s a hole in the authentication logic.” 听起来随意，但意思明确。更俚语一点的说法是 “bug” 加个形容词——“security bug”。不过正式文档里几乎不会这么写，怕混淆。

我印象很深的一次，某开源项目在 GitHub 上有个 issue 标题写 “Possible bug in session handling”，底下讨论了几十楼，最后发现是会话固定漏洞，能劫持用户账户。维护者赶紧把标题改成 “Security vulnerability: session fixation”，然后发了安全公告。你看，同一个东西，叫法变了，严重等级和响应速度完全不一样。

另外，flaw 也常出现，偏书面，指设计或实现上的缺陷。比如 “a flaw in the encryption algorithm”。它跟 vulnerability 接近，但更强调“不完美”，不一定能被直接利用。审计报告里爱用这个词，听起来比 bug 正式，又没 vulnerability 那么吓人。

最后提一个容易搞混的：error。那是错误，不是漏洞。程序报错不等于有安全漏洞。比如空指针异常是 error，但如果这个异常能让攻击者绕过认证，那它同时也是一个 vulnerability。区别在于“能不能被恶意利用”。

所以下次你想说“有漏洞”，先想清楚场景。跟安全团队开会，说 vulnerability；跟产品经理吐槽，说 bug；写渗透测试报告，写 vulnerability 加 exploit。别用错，用错了轻则被纠正，重则漏掉一个 critical 问题。我见过最离谱的，是把 “vulnerable” 拼成 “vulnerable”——多了一个 l，被同事嘲笑了半年。