创业者长期主义生存指南：用漏洞思维构建技术护城河
|
去年12月份，改版上线翻车——就那个灰度切到17%时API突然开始504的版本。不是网关层的问题，是前端SDK里埋了个fetch超时兜底逻辑：只判了status code，没判AbortSignal.reason，结果Chrome 120一升级，AbortController.abort()传进来的reason从"timeout"变成了"TimeoutError: fetch timed out"，整个错误链路全错位。我敢打包票，就是这个字符串匹配崩的。PM早上九点三十发钉钉问“灰度能不能推”，我在DevTools Network tab里拖着鼠标拉时间轴，左屏看curl重放结果，右屏壁纸还是上个月在厦门拍的鼓浪屿老砖墙，泛黄、裂缝歪得有节奏。 抬手——按F5——松手——再按——再松手。其实没等刷新完我就知道没用。后端说“上游返回快得很”，测试说“我本地mock跑三遍都过”，我信他们，但我不信那个error.toString().includes('timeout')。我原以为是个竞态，结果扒源码发现是SDK把AbortSignal绑进了AbortController的构造参数里，而新Chrome把这个对象序列化成空object，toString()出来就是{}，所以兜底失败。这玩意儿连devtool都不报warning，console.error里刷出来的就一行undefined。 旁边同事去倒水，路过我工位时说“你键盘空格键又卡了吧”，我看了一眼——确实，shift键帽底下积了灰，但卡的是右边那个Alt，按下去弹不起来，得用指甲抠。我懒得换，反正左手Alt基本不用。汤洒了一滴，在MacBook Air边框上摊开一小片油光，像段没commit的脏数据。 优胜劣汰？哈。不是市场挑人，是runtime挑你漏掉的那行try/catch。创业者讲长期主义，讲技术护城河，结果第一道防线是靠React.memo()把一个useEffect里的闭包变量锁死在旧值——这叫护城河？这叫拿防火墙当晾衣绳。上个月PR review，后端提交了个DTO class，字段名全小驼峰，我扫一眼就reject了，说“你这跟Swagger定义对不上”，他回我：“Swagger是人写的。”我说对，可我们不是总得跟人写的swagger对齐吗？他没回。后来上线那天，iOS端解析失败率飙到13%，因为那个字段在OpenAPI spec里写了nullable: true，但他代码里给默认值null，Jackson直接跳过序列化，前端收到的JSON少了整个字段——这事儿我没细查，这个我说不准。 CSS命名这事我一直没想通。为什么非要BEM？.header__title--large就比.header-title-large多敲七个字符，换来的是团队里三个新人三个月没搞懂modifier和element怎么嵌套。上周测试指着一个按钮说“这颜色跟设计稿差两度”，我打开DevTools Elements tab，hover上去，颜色值显示hsl(212, 68%, 42%)，但我记得设计稿是214。差两度能看出来？我不信。我截图发给UI，她回了个“????”，附带一句“你们用sRGB渲染吧？我导出的是Display P3”。我关掉tab，喝了口已经凉透的茶，茶汤表面浮着一圈薄得快看不见的膜。
文章配图，仅供参考 漏洞思维不是让你天天挖0day，是让你默认所有接口都是被篡改过的，所有日志都是被裁剪过的，所有“已验证”的数据都是刚被绕过的。去年双十二前夜，订单页崩溃，排查四小时，最后发现是CDN缓存了一个带内联script的HTML fragment，script里写了window._user.id = "123"——而ID其实是JWT解出来的，中间件早把原始token清掉了。缓存失效策略写的max-age=3600，没人动它，也没人动那个JS。它就在那儿，静默，合法，且每小时执行一次eval。你说这是架构问题？不，这是信任问题。信任文档、信任配置、信任上个维护者留下的注释。而漏洞最擅长干的事，就是把你的信任变成攻击面。工资条上税前数字看着还行，但扣完五险一金加个专项附加，到账那个数让我盯着看了十七秒。不是心疼，是突然意识到——我和那个写SDK的前端，工资结构一模一样，绩效考核标准里都有“重大线上事故为0”，可他写的那行includes('timeout')，算不算重大？不算。因为它没进生产？它进了，只是藏在17%灰度里，靠用户上报才露头。所以什么叫长期主义？是等用户替你发现漏洞，还是在本地起三个Chrome profile轮着测不同AbortController行为？ 我现在每天晨会前做三件事：删掉node_modules重装依赖；清空localhost storage；用curl -I 跑一遍核心接口看headers有没有X-Content-Type-Options: nosniff。不是防别人，是防自己忘了哪天顺手关过CSP。至于护城河——真有那么一天，你想靠“我们技术先进”守住客户？不如先把你家登录页的JWT塞进localStorage这事，跟投资人解释清楚。下礼拜我要去趟杭州，不是开会，是蹲在阿里云控制台里抓一段SLS日志流——听说他们最近开了个新字段叫__source_trace_id，不知道能不能串起我上个月丢掉的那个异常堆栈。我还没试，不敢说能行。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
