我盯着屏幕上那个红色报错框看了五分钟，漏洞没事最后决定不修了。漏洞没事

那是漏洞没事个老掉牙的内部系统，跑着十年前写的漏洞没事PHP代码，漏洞编号CVE-2024-xxxx，漏洞没事危害等级“高”。漏洞没事理论上，漏洞没事攻击者能通过这个洞拿到管理员权限。漏洞没事但前提是漏洞没事——他得先找到这个系统，再猜中那个比“password”还简单的漏洞没事后台路径，还得忍受每次请求要等八秒的漏洞没事龟速响应。黑客真要费这劲，漏洞没事不如去攻隔壁那个天天被扫描的漏洞没事电商平台。

我把漏洞报告截图发到工作群，漏洞没事配了句“暂不处理”。漏洞没事五分钟后，新来的安全专员私聊我：“哥，这不合规吧？”我说你去看下这个系统的访问日志，上个月总共就三个人用过，全是内部IP。他半天没回话，估计是去翻日志了。

漏洞这东西，得分场合看轻重。就像你家门锁有个技术性缺陷，理论上用根铁丝就能捅开，但你住在三十层，楼下还有两道门禁，那这缺陷就是个纸老虎。真正的风险从来不是单点漏洞，而是漏洞恰好长在有人走的路上。

我见过太多为了“安全”而安全的事。去年有个客户，非要我们修复一个理论上的越权漏洞，改完代码上线，结果把正常业务流程给切断了——用户下单后无法查看自己的订单。那周客服电话被打爆，损失比真正的攻击造成的还大十倍。修复一个没人能利用的漏洞，结果制造了一个人人都能撞上的事故。

后来我学乖了，看到漏洞先问三个问题：这东西暴露在公网吗？有价值的数据在它后面吗？有没有现成的攻击路径？三个问题都答“是”才值得紧张。大部分漏洞连第一关都过不了——它们藏在内网深处，周围全是防火墙和ACL，活像个保险箱里再套了个铁盒子。

当然，这不是说漏洞就该放任不管。该打的补丁要打，该做的加固要做，但得排个优先级。真正的安全是种平衡——你要防的是那些会真来敲门的人，不是纸面上所有可能存在的锁匠。

昨天那个漏洞报告又弹出来了，系统自动重报了第三遍。我点了“忽略”，然后给那个安全专员发了条消息：“你要实在不放心，下周我带你去看下这台服务器的网络拓扑图。”他回了个“好”。我知道等他看完就会明白，有些漏洞，就像衣柜深处那颗松动的纽扣——你知道它在，也知道理论上它会掉，但只要你穿着外套，就没人看得见。

漏洞没事，有事的是那些不看路就瞎紧张的人。