数据科学家建站无需懂运维？安全专家揭秘技术真相

　　去年9月，我蹲在IDC机房听那台老戴尔R720的风扇声——像八百只苍蝇撞玻璃，嗡得人太阳穴跳。隔壁工位小张刚撕开一份麻酱鸡丝凉皮，油渍在键盘托上洇开第三层，我伸手想拿他桌上半罐红牛，结果碰倒了空易拉罐，哐当一声，监控大屏右下角刚好跳出一条“CDN回源5xx突增”，我没点开。

文章配图，仅供参考

　　起因是群里@我——不是安全组的，是数据科学部那个总穿灰连帽衫的李哲。他发了个截图：Hugo + GitHub Pages + Cloudflare Workers 一键部署脚本，底下配字：“零运维建站完成 ✅”。我滑到最底下，看见他发了个捂脸笑的表情包，眼睛弯成两道缝，嘴角没对齐。我回了句“备案号填哪儿”，他秒回：“啊？还需要这个？”

　　我原以为他只是漏了流程，结果第二天他在钉钉发了个语音，十六秒，语速快得像吞了三粒薄荷糖：“我们测了三个月A/B，流量跑得比预训练还稳，蜘蛛来得勤，收录涨得快，连百度站长工具都自动抓到sitemap了……”他停顿半秒，“就是昨天凌晨三点四十七分，/admin/api/export 路由被扫了二十七次。”我说：“你没关调试模式？”他沉默了十八秒，说：“啥叫调试模式？”

　　这不是蠢。这是优胜劣汰——真淘汰的从来不是人，是那些靠胶带把HTTPS证书粘在Nginx配置里、却死活不记得删掉.gitignore里backup.sql路径的项目。李哲那套东西跑得起来，不是因为没漏洞，是因为漏洞还没走到能被利用那步。他用Cloudflare WAF挡掉了83%的扫描，剩下17%打在GitHub Pages静态路由上，404堆得比Jupyter Notebook的cell还密。这哪是安全？这是靠协议层的天然豁免权硬扛着——HTTP/2头压缩压得攻击载荷根本发不满一帧，QPS卡在三百七十二就断流，蜘蛛爬得比渗透测试人员还勤快，反而把恶意爬虫给挤出队列了。我敢打包票：他那个站点三个月没被黑，纯粹因为没人盯它，就像没人去撬一个锁芯朝天的旧铁皮箱——不是防得住，是嫌它太轻、太锈、撬完还硌手。

　　前两天路过B座一楼茶水间，看见王工正蹲着调光猫——他儿子学校搞网络安全社团，非让他装个树莓派做蜜罐。王工一边拧网线接头一边嘟囔：“现在的孩子写SQL注入都不学闭合，直接往payload里塞`' or sleep(5)='`，连数据库版本都不猜……”我插嘴问：“那您蜜罐里放了几个弱口令？”他抬头看我一眼，笑了：“三个。root:123456、admin:admin、test:test。昨晚十一点二十三分，被爆破成功两次。”我点头走开，心里却想着：李哲的站根本没放弱口令——他压根没开SSH。可这事儿跟弱口令没关系。关系在于，当你连端口都不暴露时，连爆破都懒得给你递简历。

　　但有个事我说不准：他那个自动同步Google Sheet生成FAQ页面的功能，到底有没有触发过Sheet API的quota限频。他自己试过六次，每次都是凌晨两点，表格更新延迟不超过三分钟。可上周四下午四点十七分，我瞥见他的FAQ页底部多了一行小字：“FAQ 数据加载中…（上次更新：2023-09-12）”，持续了四小时十七分钟。没人报障，没人告警，也没人发现。直到运营妹子在周会说“用户咨询量涨了，但FAQ点开全是空白”。后来查日志才发现，GCP那边返回了429，但他前端根本没做fallback，就卡在loading……这个细节我翻了三遍Git历史，确认不是他删的——是他第一次commit时就没写。

　　昨天午休，我在楼顶抽烟，看见李哲在楼下停车场教实习生改CSS动画帧率。风把烟灰吹进我衬衫领子，痒得我直缩脖子。他指着手机屏幕喊：“你看！transition-timing-function设成cubic-bezier(.2,.9,.6,1)，用户停留时间多了1.2秒！”我点点头，把烟掐了，没说那套CSS其实把所有触摸事件拦截了0.3秒——导致移动端点击反馈延迟，但因为页面本身无交互按钮，所以谁都没感知。这种事儿，你没法教。要么他某天被用户投诉点不动，要么被PM拉进会议问“为什么安卓端转化率低0.7%”，要么永远不知道。

　　哦对，我工位抽屉第二格里有半包没拆的金桥咖啡糖，上周四被行政部统一收走做过敏源排查——就因为小杨吃了两颗后狂打喷嚏，而她电脑壁纸是Kubernetes官方吉祥物。这事和建站没关系。但它让我想起李哲上线当天，在群里发的另一张图：他服务器CPU曲线平得像一张A4纸，底下写着“稳定如狗”。我没回。我知道，狗也得打疫苗，也得剪指甲，也会突然对着空气吠三声。只是有些人养狗，从来只喂食，不遛，不洗，也不看它什么时候开始绕着柱子转圈。

　　所以我不拦他。我只把备案号生成器链接甩进群，附一句：“填完别删，每年六月自查一次IP归属地变更。”

　　至于WAF规则要不要开Bot Fight Mode？先让他自己等蜘蛛爬满七天再说。我原以为他会半夜三点打电话问，结果他微信回得挺快：“已开。另外——你见过哪个云厂商把‘禁止用AI生成网站’写进ToS吗？”

　　没回。手机静音了。窗外又一架顺丰无人机嗡嗡掠过，底盘灯一闪，像只迷路的萤火虫。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!