漏洞反思

凌晨三点，漏洞反思我盯着屏幕上那行红色的漏洞反思报错日志，咖啡已经凉透了。漏洞反思这已经是漏洞反思本周第三次因为同一个逻辑漏洞导致数据回滚，而每次修复都像是漏洞反思在给漏水的屋顶贴胶带——贴上就暂时不漏，过两天又换个位置渗进来。漏洞反思

漏洞这东西很有意思。漏洞反思它从来不会主动告诉你它在那儿，漏洞反思只会在你最自信的漏洞反思时候给你一记闷棍。上个月我们上线的漏洞反思新支付系统，测试环境跑了整整两周，漏洞反思所有用例全绿。漏洞反思结果呢？漏洞反思生产环境第一个真实用户就触发了那个谁都没注意到的边界条件——当订单金额恰好等于账户余额时，系统会多扣一分钱。漏洞反思一分钱啊，漏洞反思但那个用户是个较真的程序员，他直接写了封长邮件抄送了全公司。

我把那次事故的复盘文档翻出来看了好几遍。有意思的是，写这段代码的同事是个特别细心的人，他的代码注释比代码本身还长。但他漏掉的那个分支，恰恰是他觉得"根本不可能发生"的情况。你看，漏洞往往不是产生于粗心大意，而是产生于我们的思维盲区——我们总是倾向于认为事情会按照预期发展，而现实偏偏喜欢在预期之外的地方撒野。

后来我养成了个怪习惯：每次修复完一个漏洞，不是急着提交代码，而是先问自己三个问题。这个漏洞是怎么溜进来的？我为什么没能在写代码的时候发现它？如果换个场景，它会不会换个马甲再出现？说实话，第一个问题通常能答上来，第二个问题就得想半天，第三个问题嘛——大部分时候我都答不上来，只能老老实实承认自己水平有限。

承认自己水平有限这件事，比修复漏洞本身难多了。代码世界里容不下"我觉得没问题"这种话，但现实世界里我们又太习惯说这种话。我见过最荒唐的一次线上事故，起因就是某位前辈觉得"这个接口不可能被外部调用"，于是省掉了鉴权逻辑。结果那个接口真的被调用了，被一个爬虫，每小时调用几万次，硬生生把数据库拖垮了。那个前辈后来在复盘会上说了一句话，我到现在还记得："我总觉得自己比代码聪明，其实代码比我老实多了。"

漏洞像一面镜子，照出的不只是代码的问题，还有我们思考方式的问题。它提醒我，能力边界不是画在代码行数上的，而是画在你对"不可能"这三个字的警惕程度上。那个多扣的一分钱，那个没加鉴权的接口，它们原本都藏在我们以为足够坚固的角落，直到现实伸手把它们戳破。

写完这段文字，我又看了眼时间——凌晨四点十七分。那杯凉透的咖啡还在桌上，但我已经不想再续一杯了。我把那条报错日志的截图存在手机里，设为锁屏壁纸。大概会存很久吧，直到我彻底记住：漏洞从来不挑时候，它只挑你松懈的那一刻。