去年夏天，我给一家做票据识别的创业公司做外聘渗透测试。他们的CTO很年轻，看起来像是马上要去见投资人的样子。我花了三天跑工具、手工测接口，最后写了一个两百多页的报告，里面包含几个危险的逻辑漏洞——比如通过修改API参数直接获取他人发票数据。交付那天，他们开了个会，CTO只翻到第三十页，指着一条“反射型XSS”说，这个我们要马上修，客户审计会看到。那一刻我突然明白，我不是在测试安全，我是在陪一群人演一出叫“安全”的戏。
后来我拒绝了很多靠扫描器走量的活。不是因为他们给的少，而是因为那些报告让我自己觉得是个骗子。自动化的工具确实能翻出SQL注入、CORS配置错误，但它永远发现不了业务上的漏洞——比如“用户A可以用请求把商品价格改成负数，然后系统给他打钱”。这需要理解业务流程，需要像罪犯一样思考。但安全行业被合规指标绑架了，漏洞数量、严重程度、修复周期，这些数字成了交付物。开发团队会像在流水线上拧螺丝一样，把漏洞一个个钉死，但他们从不会问一句：“如果这个功能本身就不该存在呢？”
我们缺少的不是更多的渗透测试，而是对“破坏”这个动作的尊重。我认识一个老黑客，他测试不按套路，专挑登录/注册的功能下手，因为他知道那是最复杂、最容易留死角的地方。他说过一句话让我记了五年：“逻辑漏洞不是你看出来的，是你用一笔一笔的支付记录喂出来的。”这就是对比。安全测试真正要养成的习惯，不是盯着漏洞库，而是想业务是怎么挣钱的，钱从哪里进来，拐了几个弯，哪里能截胡。真正的漏洞往往是这种“拐弯”的地方，可我们的工具只盯着直路。
我也不是完全否定工具，只是觉得我们太把“测试”当作一道安全门，以为跑完一轮就“安全了”。这就好比每天给自己量体重，但从来不改变饮食习惯，量完体重还有成就感。我一直觉得，安全测试的最高形态不是独立部门，而是每个人心里都在运行一个小的“攻击者模拟器”。如果你能让一个初级开发在写完代码之后，第一时间想到的是“我这段能不能被绕过”，那么你已经赢过那些一百页的报告了。现在我依然在跑工具，但我看到结果的时候是怀疑的，甚至有些麻木。真正让我兴奋的时刻，是某次在生产环境里，我手动拨了某个API，突然跳出一段不该有的数据，我手一抖，心里骂了一句“卧槽”——那才是安全测试还活着的感觉。
