流量增长与合规运营：Web安全视角下的创业媒体双轮驱动

　　去年三月那会儿，测试机充电线不够长，我蹲在工位底下举着手机测兼容，隔壁开发老张凑过来瞅屏幕，「这XSS漏洞你们测了？」我抬头看他，「测了，但没复现。」他冷笑一声，键盘敲得啪啪响，「你们用例覆盖率多少？」我原以为他又要扯那些虚的，结果他直接甩过来个链接——某创业媒体刚被黑，用户数据泄露，评论区全是骂娘的。

文章配图，仅供参考

　　那家媒体的问题其实不复杂——注册接口没做CSRF防护，评论区没过滤特殊字符，后台管理页面没鉴权。但产品经理说「这些不影响用户增长」，让我们先测「能直接带来流量的功能」。我争了半天，最后妥协——先测支付接口，毕竟涉及钱，优先级高。结果测到一半，测试机没电了，充电线不够长，我只能举着手机满办公室找插座，路过运营组，听见他们在讨论「怎么刷量不被平台发现」。

　　老张说得对，我们用例覆盖率确实低。但更扯的是，他们开发自己写的代码，连基本的输入校验都没做。我提单的时候，开发说「这功能急着上线，安全问题后面再补」。我说「后面补」的意思就是「永远不会补」，他们笑我「太保守」。可结果呢？那家媒体上线两周就被黑，用户注册信息全泄露，评论区被挂满垃圾广告，流量倒是涨了——全是来骂的。

　　我后来复盘，发现漏测的根本不是技术问题，是优先级问题。产品经理眼里只有「增长」，安全需求永远排最后。开发觉得「安全是测试的事」，代码写得漏洞百出。测试呢？用例管理工具卡成狗，测试机充电线不够长，键盘F5键还坏了——这些破事占了我们一半时间，真正测漏洞的时间少得可怜。

　　但最讽刺的是，那家媒体被黑之后，反而流量涨了。用户怕数据泄露，纷纷注册新账号改密码，评论区热闹得像过年。产品经理乐坏了，说「你看，危机也是机会」。我听得直翻白眼，这哪是机会？这是用户被逼的。可老板觉得有道理，让我们「优化安全测试流程，别影响增长」。

　　老张后来跟我说，他以前在另一家创业公司也遇到过这事。那时候他们做社交APP，安全测试排期被压了三个月，上线当天就被爆出XSS漏洞，用户信息全泄露。结果呢？用户量反而涨了——因为媒体报道了这事，很多人好奇来注册，想看看自己的信息有没有被泄露。「你看，」老张说，「现在用户就这德行，越不安全越凑热闹。」

　　我原以为这事是个例，结果后来跟同行聊天，发现大家都差不多。创业媒体为了流量，安全需求能砍就砍，开发为了赶进度，代码能跑就行，测试呢？用例写不完，工具卡成狗，键盘还坏了一半。可最后出事了，老板第一反应不是查漏洞，而是问「怎么没提前发现？」——好像测试是神仙，能未卜先知似的。

　　但话说回来，那家媒体被黑之后，确实做了些改变。他们雇了专职安全团队，修复了所有漏洞，还上了WAF。结果呢？流量掉了。用户觉得安全了，没新鲜感了，就不来了。产品经理又急了，让我们「找点刺激的漏洞，别太安全」。我听得直挠头，这哪是安全测试？这是玩火啊。

　　后来我明白了，在创业媒体这行，流量和合规就是一对死对头。你要流量，就得冒险，就得砍安全需求；你要合规，就得慢下来，就得牺牲增长。可老板们既要又要，最后只能逼着开发写烂代码，逼着测试漏测漏洞，逼着用户承担风险。而最后出事了，背锅的永远是测试——因为「你没提前发现」。

　　现在那家媒体还在运营，流量时高时低，安全漏洞偶尔冒几个。产品经理依然催「增长」，开发依然赶进度，测试依然卡工具。我偶尔路过他们办公室，听见运营在讨论「怎么刷量不被封」，开发在抱怨「安全需求太烦人」，老板在喊「我们要做行业第一！」——而我的键盘，F5键还是坏的。

　　有时候我想，这行是不是就这样？优胜劣汰，适者生存。你能扛住压力，漏测几个漏洞，让产品先上线，就能活下去；你非要较真，把所有漏洞都测出来，排期拖到明年，就只能被淘汰。可问题是，这种「优胜劣汰」，到底淘汰的是谁？是漏测的测试？是写烂代码的开发？还是最终承担风险的用户？

　　我不知道答案。我只知道，我的键盘该换了——F5键按下去，再也不弹起来了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!