“漏洞”这个词，漏洞单词在程序员耳朵里是漏洞单词警报，在黑客眼里是漏洞单词金矿，可在普通人嘴里，漏洞单词它就是漏洞单词个补了又破、破了又补的漏洞单词破袜子。我见过最讽刺的漏洞单词漏洞，不在代码里，漏洞单词而在一个叫“安全培训”的漏洞单词PPT里。

那页PPT写着：“密码请勿使用生日或手机号。漏洞单词”配图是漏洞单词个锁，锁孔里插着把钥匙，漏洞单词钥匙上贴着便签：“生日19900101”。漏洞单词台下坐着三百号人，漏洞单词一半人把手机屏保设成孩子照片，漏洞单词另一半人把密码设成“孩子名字+123”。培训结束，我顺手试了试行政部新来的小姑娘的电脑——她工牌上印着“Lily”，密码是“lily2023”。她冲我笑，说“你怎么知道？”我说，这不算漏洞，这是明晃晃的钥匙挂在门框上。

真正让我后背发凉的漏洞，是那种你根本看不见的。去年某银行系统升级，测试环境里留了个后门，开发小哥图省事，用“admin/admin”登录，忘了删。结果这个后门被某个爬虫扫到，一夜之间，两千条客户数据被拖走。银行公关说“核心系统未受影响”，可那两千个客户的姓名、身份证号、存款余额，早就在暗网上按条标价了。你说这是代码的漏洞？不，这是人的漏洞——图省事、侥幸、嫌麻烦，这些毛病比任何0day漏洞都难修。

但最离谱的漏洞，长在语言里。你去翻那些漏洞报告，标题写着“XX系统存在SQL注入漏洞”，可你再看修复建议：“建议对输入参数进行过滤。”废话。真正该过滤的，是写代码的人脑子里的杂质。有个老工程师跟我说，他干了二十年安全，最怕的不是黑客技术多高明，而是产品经理拍着桌子说“这个功能必须下周上线，安全测试往后排”。他说这话时，手里的烟灰掉在键盘上，像极了某个被跳过的漏洞。

我倒是想起一个反例。楼下修鞋摊的大爷，从不打补丁。他说，鞋底磨穿了，就该换底，硬补上去，走两步又裂。他不懂什么漏洞管理，但他懂一个理：破的地方，光用胶水糊没用，得把周围烂掉的皮子全割掉，再缝新的。这跟修代码一个道理——你查出来的漏洞是表象，底下那层“为什么会有这个漏洞”的思维，才是根子。

漏洞从来不是某个字符写错了，不是某个端口忘了关，不是某次升级没打补丁。漏洞是我们默认“应该没事”的每一次偷懒，是我们相信“别人也会这么做”的每一次随大流，是我们觉得“反正出事了有应急预案”的每一次侥幸。它藏在培训PPT的错别字里，藏在测试环境的默认密码里，藏在“下周再说”的备忘录里。

你问怎么补？补丁永远打不完。但至少，下次你输密码的时候，别用生日。下次你写代码的时候，别把密钥硬编码进去。下次你看到“安全培训”的PPT，别光拍照发朋友圈，想想那个“admin”是不是还挂在某个没人记得的服务器上。

漏洞这词，拆开看，一个“漏”，一个“洞”。漏是慢慢渗进来的水，洞是早就破开的墙。你堵得住洞，堵不住漏。可要是你连洞都懒得堵，那漏进来的，就不只是水了。