站长圈从不公开的建站真相：90%网站测试漏洞靠人工挖

　　去年九月份，我蹲在他们公司茶水间门口啃冷掉的三明治，等那个“做个淘宝那样的”客户把U盘递过来——结果递过来的是张皱巴巴的A4纸，手写“首页加个轮播图，底下放三个按钮，颜色要显眼”，背面用红笔圈了仨字：“先做出来看看”。

　　我原以为就改个CSS，结果打开后台才发现连登录态都靠localstorage硬扛，用户点了“收藏”按钮，刷新页面直接变回0。不是bug，是压根没写逻辑。销售在微信里发了个“辛苦啦！”的表情包，后面跟一句“客户说上线前再测一轮就行”。行，行得像电梯里遇见的行政小妹，拎着半瓶矿泉水冲我笑了一下，转身按了B2——我盯着她后脑勺那撮翘起来的头发，突然觉得比我们写的JS还难对齐。

　　会议室投影嗡嗡响了整场会，音量不大，但像有根针在耳道里来回刮。客户姓王，手指一直在转那支银色中性笔，咔哒、咔哒、咔哒，每响一次我就点一次鼠标右键刷新页面控制台——报错堆栈里第17行写着：`Cannot read property 'length' of undefined`，而他正指着屏幕说：“这按钮点一下怎么不跳？”我答：“它根本没绑事件。”他点头：“那你加一个。”我没接话，只看着桌上那盘切好的哈密瓜，橙红两块，汁水都渗到托盘底下了，没人动过一口。

　　测试报告写了七版。第一版列了32条高危项，第二版删成18条，第三版客户说“先上线再说”，第四版销售加塞了句“客户觉得页面加载慢不算缺陷”，第五版我把“未校验手机号格式”改成“建议优化输入体验”，第六版我亲手把“越权访问用户订单列表”这条拖进了“已确认为预期行为”，第七版……第七版是截图发群里，配文：“王总说，‘反正我们又不卖东西，谁查我订单？’”。群里没人回。我就把报告关了。

　　中间穿插过一回扯淡：客户突然打电话说“百度搜我们品牌名，排第四，能不能做到第一？”我愣了三秒回：“您买竞价位了吗？”他沉默，然后说：“你们不是包排名吗？”我笑了下，没挂电话，只是把听筒拿远了一点。对面传来小孩摔玩具的声音，接着是妻子喊：“老王！泡面糊了！”——那声“糊了”，比我们漏测的CSRF防护漏洞还真实。

　　上回更离谱的是个卖五金的，网站里连“联系我们”的表单都没连邮箱，客服电话是用图片贴上去的，我提完bug，对方财务来问我：“这个算功能变更还是BUG修复？改图要不要加钱？”我说：“图是死的，人是活的。”她说：“那您先签个补充协议。”后来他们找外包重做了套站，源码要走了，连数据库备份都打包要，说“以后自己运维”。我问：“你们有DBA？”他顿了顿：“招了一个，刚离职。”

文章配图，仅供参考

　　后来漏洞真爆了——不是大问题，是用户能把自己账户昵称改成``，再发到评论区，别人点开详情页就弹窗。不是XSS全链路，只是前端没过滤，也没转义，就那样裸着。安全扫描工具扫不出来，因为没触发响应体关键词；自动化用例也过不去，因为脚本注入在昵称字段，而用例里根本没覆盖“用户自己填的字段还能害自己”这种脑回路。是我半夜复查评论流时，手欠多输了一串尖括号试出来的。王总说：“哎哟，这也能出事？”

　　站长圈从不公开的建站真相：90%网站测试漏洞靠人工挖。这话我去年九月信了，现在更信。信的不是数字，是优胜劣汰——熬得住通宵、蹲得下厕所、忍得了转笔声、看得进哈密瓜渗水速度的人，才卡得准那种“需求文档没写、原型图没标、老板觉得没必要但用户真会干”的缝。工具能跑覆盖率，跑不了人性；脚本能校验HTTP状态码，校验不了王总说“反正我们又不卖东西”时眼皮抬了几分。

　　尾款没结。不是拖，是压根没提。合同里“验收通过后五个工作日付款”那条，被他们法务标黄，备注：“以甲方最终签字确认为准”。签字？他们连测试报告PDF都没点开过。销售倒是催我交“交付物清单”，我甩过去三行：①前台静态页 ②后台管理页 ③一份没盖章的Excel。他隔天回：“王总说，源码呢？”

　　无所谓。真无所谓。我连吐槽时都想打哈欠。不是累，是那种见多了之后，看见“加个功能”四个字就像看见电梯楼层键闪绿灯——知道它亮，也知道它永远不会带你去你想去的楼层。客户说得最多的一句原话我现在还能背：“你们做技术的，灵活性要强一点。”对，强得能绕过浏览器同源策略，强得能绕过合同约束力，强得能把“不做测试”包装成“敏捷迭代”。

　　下回合同里这条必须写死：所有字段级输入校验、所有接口鉴权验证、所有富文本渲染转义——全部由甲方书面确认豁免方可跳过。否则，别谈“先做出来看看”，先看看我工位抽屉里那盒没拆封的薄荷糖，糖纸都潮了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!